„123456” wciąż piętą achillesową sieci. Tym razem otworzyło dane 8,8 mln ludzi

5 października duński rząd przyznał, że ktoś niepowołany wyciągnął z państwowego rejestru ludności dane około 8,8 miliona osób: imiona, nazwiska, adresy i numery identyfikacyjne. Sporo jak na kraj, który ma nieco ponad 6 milionów mieszkańców, ale w rejestrze są też zmarli i ci, którzy wyjechali za granicę. Haker nie łamał żadnych rządowych zabezpieczeń. Wszedł przez legalny dostęp małej prywatnej firmy i między 10 a 20 września wykonał około 14 milionów zautomatyzowanych wyszukiwań. Nikt tego nie zauważył. Atak wyszedł na jaw dwanaście dni po fakcie, kiedy jeden z państwowych urzędników zdziwił się, że rachunek dla firmy za wyszukiwania okazał się podejrzanie wysoki.

W Danii każdy ma numer CPR, odpowiednik naszego PESEL-u. Do rejestru z tymi numerami mają dostęp także firmy, które potrzebują go w pracy, na przykład do aktualizowania adresów klientów. Jedną z nich jest dwuosobowa spółka z Odense. Według dziennika Politiken, który rozmawiał z osobą przyznającą się do ataku, firma miała co najmniej trzy konta z hasłem 123456, w tym konto administratora. Do środka miało ją wpuścić hasło byłego pracownika, które wcześniej wyciekło. Ani firma, ani rząd nie odpowiedziały na pytania o hasło.

Na dokładkę według dwóch ekspertów, którym Politiken pokazał kod, program, którym pobierano dane, napisała sztuczna inteligencja. I to z błędem: zamiast osób urodzonych w 1977 roku szukał tych z 1877, więc w materiale przekazanym przez hakera dziennikowi, brakuje całego rocznika 1977.

Powiązane:PlayStation 5 „zyskało” nową funkcję. Złamana konsola została przerobiona na serwer AI

Skutki włamania są jednak poważne. Duńska Agencja Bezpieczeństwa Społecznego zaleciła urzędom i firmom, żeby nie traktowały samych danych z rejestru CPR jako dowodu tożsamości.

To nie wyjątek

Dania nie jest pierwsza. Latem 2025 roku badacze Ian Carroll i Sam Curry zajrzeli do McHire, platformy rekrutacyjnej z chatbotem AI, przez którą o pracę w McDonald’s starają się miliony ludzi. Do panelu administracyjnego wpuściły ich login i hasło „123456” i „123456”. Za drzwiami czekało ponad 64 miliony zgłoszeń z imionami, mailami i numerami telefonów kandydatów.

Nic dziwnego, bo to hasło jest po prostu wszędzie. W zestawieniu NordPass za 2025 rok, zbudowanym na danych z 44 krajów, „123456” znowu zajęło pierwsze miejsce na świecie, przed „admin”, „12345678”, „123456789” i „12345”. W polskiej części zestawienia wyprzedził je tylko „admin”, a w czołowej piątce są jeszcze „12345678” i dwa klasyki ze skosu klawiatury: „zaq1@WSX” i „zaq12wsx”. Takich haseł nikt nie musi łamać. Stoją na samej górze każdej listy, od której zaczyna atakujący.

Najgorsze w obu historiach jest to, że poszkodowani nie ustawili sobie słabego hasła. Słabe hasło miał ktoś inny, gdzieś po drodze, a ich dane wyciekły przy okazji.

Więcej:Sony grozi fala piractwa na PS5: piraci otwierają nielegalne sklepy z darmowymi grami

• bezpieczeństwo
• hakerzy
• tech