รหัสผ่าน ‘123456’ ถูกอ้างว่าเป็นช่องทางให้แฮกเกอร์เข้าถึงข้อมูลประชาชนเดนมาร์กกว่า 8 ล้านคน
เหตุข้อมูลรั่วไหลครั้งใหญ่ของทะเบียนประชากรกลางเดนมาร์ก (CPR) ถูกเปิดเผยเพิ่มเติมเมื่อมีผู้ที่อ้างว่าเป็นผู้ก่อเหตุออกมาเล่าว่า เขาเข้าระบบผ่านบัญชีของบริษัทเอกชนรายหนึ่งด้วยรหัสผ่านธรรมดาอย่าง “…
เหตุข้อมูลรั่วไหลครั้งใหญ่ของทะเบียนประชากรกลางเดนมาร์ก (CPR) ถูกเปิดเผยเพิ่มเติมเมื่อมีผู้ที่อ้างว่าเป็นผู้ก่อเหตุออกมาเล่าว่า เขาเข้าระบบผ่านบัญชีของบริษัทเอกชนรายหนึ่งด้วยรหัสผ่านธรรมดาอย่าง “123456” ซึ่งเป็นรหัสผ่านที่อ่อนแอมากจนแทบไม่ต้องใช้ทักษะการแฮกใด ๆ มากนัก รายงานระบุว่าบัญชีดังกล่าวเป็นหนึ่งในหลายบัญชีของบริษัท Pays ApS ที่ใช้รหัสผ่านเดียวกัน และหนึ่งในนั้นเป็นบัญชีระดับผู้ดูแลระบบ
ก่อนหน้านี้ CPR ยืนยันว่ามีเหตุโจมตีเกิดขึ้นในเดือนกันยายน และส่งผลให้ข้อมูลส่วนบุคคลของประชาชนราว 8.8 ล้านคน ทั้งผู้ที่ยังมีชีวิตอยู่และผู้เสียชีวิต ถูกเปิดเผย ข้อมูลที่รั่วไหลครอบคลุมชื่อ ที่อยู่ และหมายเลขประจำตัวประชาชน โดยต้นตอของเหตุการณ์ไม่ใช่การเจาะระบบตรง ๆ ของหน่วยงานรัฐ แต่เป็นการนำบัญชีของบริษัทเอกชนที่มีสิทธิ์เข้าถึงข้อมูล CPR ไปใช้ในทางที่ผิด
Pays ApS เป็นบริษัทที่ได้รับสิทธิ์เชื่อมต่อกับฐานข้อมูล CPR เพื่อทำหน้าที่ตรวจสอบข้อมูลของลูกค้าองค์กรและให้บริการที่เกี่ยวข้อง ตามรายงาน ผู้โจมตีเข้าถึงบัญชีของบริษัทได้ตั้งแต่วันที่ 10 กันยายน แล้วใช้ระบบค้นหาข้อมูลใน CPR แบบอัตโนมัติกว่า 14 ล้านครั้งภายในช่วงเวลาระหว่างวันที่ 10-20 กันยายน ทำให้เกิดการดึงข้อมูลจำนวนมากโดยที่ยังไม่ถูกตรวจพบในทันที
การตรวจพบความผิดปกติเกิดขึ้นในวันที่ 2 ตุลาคม เมื่อเจ้าหน้าที่กระทรวงการอุดมศึกษา วิทยาศาสตร์ และดิจิทัลของเดนมาร์กสังเกตเห็นใบแจ้งค่าใช้บริการที่สูงผิดปกติ ซึ่งสะท้อนว่ามีการค้นหาข้อมูลมากเกินกว่าปกติอย่างมีนัยสำคัญ เหตุการณ์นี้ชี้ให้เห็นว่าการเฝ้าระวังธุรกรรมและพฤติกรรมการใช้งานเป็นอีกชั้นสำคัญในการจับความผิดปกติด้านความปลอดภัย
แม้ผู้ที่อ้างว่าเป็นแฮกเกอร์จะบอกว่าไม่มีแผนจะนำข้อมูลไปขายหรือเปิดเผยต่อสาธารณะ แต่กรณีนี้ก็ยังเป็นสัญญาณเตือนสำคัญเกี่ยวกับการบริหารจัดการรหัสผ่านและสิทธิ์เข้าถึงระบบ โดยเฉพาะในองค์กรที่ถือครองข้อมูลอ่อนไหว การใช้รหัสผ่านที่คาดเดาง่ายซ้ำ ๆ หลายบัญชี รวมถึงบัญชีแอดมิน สะท้อนช่องโหว่พื้นฐานที่อาจนำไปสู่ความเสียหายระดับประเทศได้
ในภาพรวม เรื่องนี้ไม่ได้เป็นเพียงอุบัติเหตุด้านความปลอดภัยของบริษัทเอกชนรายหนึ่งเท่านั้น แต่ยังตอกย้ำว่าข้อมูลของประชาชนจำนวนมหาศาลสามารถตกอยู่ในความเสี่ยงได้จากจุดอ่อนที่ดูธรรมดาที่สุดอย่างรหัสผ่านที่ง่ายเกินไป ข่าวนี้จึงเป็นคำเตือนชัดเจนให้ทั้งองค์กรและผู้ใช้ทั่วไปทบทวนความปลอดภัยของรหัสผ่าน เครื่องมือจัดการรหัสผ่าน และมาตรการยืนยันตัวตนที่รัดกุมกว่าเดิม
