Датски медии съобщиха за изтичане на лични данни на 8,8 милиона граждани. Причината са били слабо защитените акаунти в малка ИТ компания, чрез която хакер е получил достъп до Централния регистър на физическите лица в Дания (CPR). Хакерът, поел отговорност за пробива твърди, че е използвал паролата „123456“, която е била зададена за най-малко три акаунта на компанията, включително администраторски акаунт с пълни права.

На 5 октомври администрацията на CPR потвърди за изтичането на данни на 8,8 милиона души, като отбеляза, че е бил неправомерно използван законният достъп на една от датските компании до системата на регистъра. Наименованието на компанията Pays ApS, базирана на остров Фюн не беше обявено официално, но на 9 октомври нейното ръководство потвърди факта за компрометиране на достъпа.

Pays ApS е имала разрешен достъп до системата на CPR за предоставяне на информационни услуги, като например проверка на данни на корпоративни клиенти. Според документите, които станаха обществено достояние, хакерът е получил достъп до системата на CPR на 10 септември и в периода до 20 септември е извършил 14 милиона автоматизирани търсения. Проникването е било открито на 2 октомври – 12 дни след като са били регистрирани последните заявки.

Атаката беше разкрита, след като служител на Министерството на висшето образование и науката е обърнал внимание на необичайно висока активност от страна на Pays ApS. Датският орган за защита на данните (Datatilsynet) беше уведомен на 4 октомври, а на следващия ден правителството официално потвърди факта за кибератаката.

Според изявление на датското правителство е бил получен достъп до информация за 8,8 милиона души. Населението на страната възлиза на около 6 милиона души. Общо в регистъра има около 11 милиона записи, включително данни за починали и заминали в чужбина лица. Правителството не отговори на въпросите относно предполагаемите проблеми със сигурността на паролите.

Уебсайтът на компанията Pays ApS в момента не функционира. На него е посочено, че страницата „е в процес на разработка“. Представител на компанията се въздържа от коментари. Хакерът съобщи пред датското издание Politiken, че не планира да продава или публикува получените данни.