KODAŇ, DÁNSKO / RankWire.AI / – Centrální registr osob (CPR) v Dánsku se dostal pod drobnohled, protože úředníci vyšetřují neoprávněný přístup k v něm uloženým osobním údajům. Incident se týkal záznamů přibližně 8,8 milionu osob. Zpřístupněné informace zahrnovaly jména, adresy, identifikační čísla CPR a další registrované údaje. Úřady potvrdily, že narušitelé použili přihlašovací údaje propojené se soukromou dánskou firmou s legitimním oprávněním k přístupu do národní databáze obyvatelstva. Název firmy nebyl veřejně zveřejněn.
Systém CPR zjistil nepravidelnou aktivitu večer 2. října po sérii prohlídek provedených během září. Během následujícího víkendu úředníci analyzovali aktivitu, aby určili rozsah narušení. Databáze CPR obsahuje zhruba 11 milionů záznamů, včetně současných obyvatel, cizinců a zesnulých osob. Úředníci zdůraznili, že prohlídky byly omezeny na kategorie dat přístupné prostřednictvím autorizovaných služeb CPR.
Osoby odpovědné za neoprávněné prohlídky nebyly identifikovány. Poté, co agentura CPR odhalila podezřelou aktivitu, odebrala společnosti přístupová práva. Dánská policie a příslušné orgány nyní incident vyšetřují a zaměřují se na to, jak k němu došlo a které záznamy byly cílem útoku. Zkontrolovali také data chráněná dánským systémem ochrany jmen a adres a potvrdili, že chráněná jména a adresy nebyly součástí kompromitovaných informací.
Dozorčí orgán pro data vyhodnocuje automatizované vyhledávání v systému CPR
Dánský úřad pro ochranu osobních údajů Datatilsynet obdržel oznámení o narušení bezpečnosti 4. října. Úřad odhalil, že v databázi CPR byl proveden značný objem automatizovaných vyhledávání, primárně za účelem ověření platnosti čísel CPR. Datatilsynet nyní vyšetřuje, jak se k systému dostali neoprávnění aktéři a jaké osobní údaje byly získány. Součástí přezkumu je také určení odpovědnosti za nakládání s ohroženými údaji podle dánských zákonů o ochraně osobních údajů.
Ministryně pro výzkum, vzdělávání a digitalizaci Christina Egelundová označila incident za vysoce závažný a informovala dánský Výbor pro obchod a digitální záležitosti. Nařídila komplexní bezpečnostní audit systému CPR a jeho přístupových postupů. Vláda rovněž zavádí opatření zaměřená na minimalizaci rizika podobných narušení v budoucnu. Úřady nadále rekonstruují časovou osu incidentu a posuzují ochranná opatření používaná soukromými organizacemi s oprávněným přístupem k datům CPR.
Veřejnost je vyzývána k opatrnosti před možnými podvody
Úřady doporučily obyvatelům Dánska, aby byli ostražití a chránili se před podvodnými hovory, e-maily a zprávami, které mohou obsahovat odhalené osobní údaje. Úředníci varují před sdílením hesel nebo důvěrných informací, zejména pokud volající již tvrdí, že zná jeho jméno, adresu nebo číslo CPR. Vláda odkázala občany na oficiální zdroje digitální bezpečnosti a dánskou kybernetickou linku. Zda útočníci zneužili zpřístupněné informace k podvodům, krádeži identity nebo jiným trestným účelům nad rámec neoprávněných prohlídek, zatím není potvrzeno.
Probíhá vyšetřování metod použitých k narušení bezpečnosti, dotčených záznamů a bezpečnostních opatření při soukromém používání systému CPR. Totožnost zúčastněné společnosti a přesné způsoby zneužití zůstávají nezveřejněny. Úřady také veřejně neidentifikovaly osoby odpovědné za prohlídky. K 7. říjnu správa CPR, policie a regulační orgány pokračovaly v samostatných vyšetřováních incidentu, zatímco Dánsko posuzovalo bezpečnostní protokoly týkající se jeho národního registru obyvatelstva.
Příspěvek Dánské úřady vyhodnocují únik dat CPR po zveřejnění osobních údajů milionů lidí 4. října se poprvé objevil na North Brit .