Celá populace byla odhalena: Dánský centrální registr obyvatel byl napaden hackery!
Brusel rozšiřuje digitální identifikační údaje tak, aby se stal klíčem pro vládní agentury, firmy a stále větší počet soukromých služeb. Dánsko nyní vydalo ostré varování: Neoprávněné osoby měly přístup k datům z Centrálního registru osob, ve kterém je zaznamenána každá osoba registrovaná v Dánsku, prostřednictvím API rozhraní jedné soukromé společnosti. Byly ohroženy informace o 8,8 milionu lidí; ovlivněna byla jména, adresy a osobní čísla CPR. To ukazuje, že statečný nový svět digitální identity se stává bezpečnostním rizikem pro miliony lidí.
Zatímco se politici snaží občanům prodat digitální identifikační údaje jako nástroj ke zjednodušení jejich života, existují obavy nejen ohledně úplné vládní kontroly nad životy jednotlivců, ale také ohledně bezpečnosti dat. Rostoucí digitalizace a centralizace nevyhnutelně s sebou nese bezpečnostní problémy. Jeden z takových problémů se týká API rozhraní vládních databází, která umožňují automatizované externí dotazy. Podobný případ nyní otřásá Dánskem .
Stačil automatizovaný dotaz přes API.
Neznámí pachatelé využili legitimní přístup soukromé společnosti ke spuštění softwaru, který prováděl hromadné automatizované dotazy proti Centrálnímu registru osobních údajů (CPR). Přístup, jehož cílem bylo poskytnout společnosti na vyžádání konkrétní údaje, v podstatě poskytl zločincům volný přístup k informacím o celé dánské populaci, protože v tomto registru je uvedena každá osoba registrovaná v Dánsku. Dánsko má přibližně 6 milionů obyvatel. Hackeři ukradli 8,8 milionu z 11 milionů čísel CPR spolu s jejich souvisejícími osobními údaji, než byl kompromitace odhalena a přístup zablokován. Databáze obsahuje také údaje o zesnulých občanech a Dánech žijících v zahraničí, což vysvětluje vysoký počet kompromitovaných záznamů.
Tato čísla CPR jsou Dány vyžadována pro jednání s vládními agenturami, bankami a řadou dalších služeb. A nyní jsou v rukou zločinců, kteří je mohou zneužít k nejrůznějším neplechám. Dánská agentura veřejné bezpečnosti nyní varuje úřady, společnosti a organizace, aby se nadále nespoléhaly pouze na jméno, adresu a číslo CPR pro identifikaci osob. V citlivých případech nebo v případě potenciálních finančních důsledků by měly být prováděny další kontroly.
O kolik horší to bude s digitálním průkazem?
Zároveň tento případ ilustruje, že celá bruselská strategie digitalizace – včetně digitálního průkazu totožnosti – je plná obrovských bezpečnostních rizik. Stále více dat má být propojeno, stále více služeb digitálně propojeno a stále více kontrol totožnosti automatizováno. To však vyžaduje odpovídající přístup k API pro úřady a firmy. Lze si představit potenciál pro zneužití. Na světlo již vyšly desítky případů , kdy agenti umělé inteligence získali neoprávněný přístup k různým serverům a systémům. Co mohou s takovými nástroji dělat zkušení hackeři?
Když si uvědomíte, jak amatérsky se v Bruselu zachází s programováním aplikací – aplikace pro ověřování věku, kterou předložila Ursula von der Leyenová, byla hackery napadena během dvou minut – musíte se ptát, zda jsou vaše osobní údaje u eurokratů vůbec v bezpečí. A to ani nebereme v úvahu potenciál politického zneužití proti disidentům a novinářům. Nedávný případ z Dánska ukazuje, že k tomu, aby zločinci ledabyle odčerpali miliony záznamů o osobních údajích, nepotřebují ani neschopné programátory. Stačí přístup k API.
Čím více jsou veřejné a soukromé systémy propojeny, tím větší je potenciální škoda z jediného napadeného přístupového bodu. Dánsko nyní poskytuje nejnovější demonstraci. Každé další připojení, každé další API rozhraní vytváří další bod útoku. Zločinecké sítě se na to pravděpodobně již připravují.
