Das Land steht vor dem, was Digitalministerin Christina Egelund wie folgt beschreibt: „ äußerst schwerwiegender Vorfall „. Das für eine dänische Behörde beispiellose Datenleck im vergangenen September wurde durch eine Reihe von Versäumnissen ermöglicht, die ernsthafte Fragen zum Schutz von Bürgerinformationen aufwerfen. Der Hacker behauptete, die Operation sei „nicht“ erfolgt nicht besonders schwierig », eine Aussage, die einem einen Schauer über den Rücken jagt.
Wie konnte eine solch klaffende Lücke offen bleiben?
Der Ursprung des Angriffs ist beunruhigend einfach. Der Cyberkriminelle nutzte das kompromittierte Passwort eines ehemaligen Mitarbeiters von Pays ApS, einem kleinen Unternehmen, das berechtigt ist, sich mit dem nationalen System zu verbinden. Das fragliche Passwort? « 123456 „… Dank dieses Zugriffs konnte der Hacker am 10. September in das System eindringen und sich dort mehr als 21 Tage aufhaltensaugt still und leise einen Berg sensibler Informationen auf. Um diesen Datendiebstahl zu automatisierenEr entwickelte zwei Computerprogramme: eines, um die Daten aus dem CPR zu extrahieren, das andere, um sie an einen externen Server zu übertragen.
Die von der Tageszeitung durchgeführte Untersuchung Politik bestätigte die Aussagen des Hackers. Mindestens drei Benutzerkonten des Unternehmens Pays ApS, einschließlich des Administratorkontos, waren durch dasselbe Passwort geschützt. Die Geschäftsführerin des Unternehmens, Sophie Laursen, musste bestätigen, dass ihre „ legaler Zugang »war gut gewesen« umgeleitet „. Eine weit geöffnete Tür, die es dem Hacker ermöglichte, sie ohne die geringste Schwierigkeit zu benutzen.
Wie reagierten die Experten auf diese Nachlässigkeit?
Die Cybersicherheits-Community ist bestürzt. Jens Myrup Pedersen, Professor an der Universität Aarhus, beschrieb die Situation als „ verzweifelt “ und fügte hinzu, dass er gesehen habe: “ Wie könnten wir eine schlechtere Sicherheit haben? „. Ihm zufolge ein Passwort wie „123456“ steht ganz oben auf allen Listen, die Hacker zuerst testen. „ Es gibt keine Sicherheit, es ist eine offene Tür „, schloss er und glaubte, dass es sich nur um „ Frage der Zeit » bevor eine Katastrophe eintritt.
Dieser Fall erinnert an andere berüchtigte Vorfälle, bei denen mangelnde digitale Hygiene katastrophale Folgen hatte. Die SolarWinds-Affäre im Jahr 2020wo Server durch „solarwinds123“ geschützt wurden, oder sogar Donald Trumps Twitter-Konto, gesichert durch „maga2020!“, sind eindrucksvolle Beispiele, die zeigen, dass selbst prominente Unternehmen aufgrund elementarer Mängel scheitern können.
Wie können wir unseren Schutz vor solchen Bedrohungen stärken?
Dieser Vorfall ist eine deutliche Erinnerung an die Bedeutung guter IT-Sicherheitspraktiken. Zu einfache Passwörter wie „123456“, „Passwort“ oder Geburtsdaten müssen unbedingt dauerhaft verboten werden. Die erste Verteidigungslinie besteht darin, lange (mindestens 12 Zeichen) und komplexe Passwörter zu erstellen, bei denen Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen gemischt werden.
Die goldene Regel besteht darin, niemals dasselbe Passwort für mehrere Dienste wiederzuverwenden. Im Falle eines Lecks auf einer Website wären alle Ihre anderen Konten angreifbar. Verwendung eines Passwort-Managers ist die effizienteste Lösung zum Generieren und Speichern eindeutiger und robuster Kennungen für jeden Dienst. Schließlich bietet die Aktivierung der Zwei-Faktor-Authentifizierung (2FA), wo immer sie angeboten wird, vorzugsweise über eine spezielle App oder einen Sicherheitsschlüssel, eine wichtige Schutzebene, die diese Katastrophe wahrscheinlich verhindert hätte.
