Sporo dorosłych w sieci zachowuje się jak przedszkolaki. Nic śmieszniejszego dziś nie przeczytacie

Choć eksperci do spraw cyberbezpieczeństwa od dziesięcioleci apelują o stosowanie złożonych kombinacji znaków, podstawowe zasady higieny cyfrowej wciąż bywają lekceważone na najbardziej newralgicznych szczeblach.

Najlepszym tego dowodem jest potężny incydent w Danii, gdzie naruszono bezpieczeństwo Centralnego Rejestru Osób. Haker uzyskał dostęp do wrażliwych informacji należących do niemal 9 milionów obywateli - zarówno żyjących, jak i zmarłych - obejmujących nazwiska, adresy zamieszkania oraz państwowe numery identyfikacyjne. Do przełamania zabezpieczeń nie były potrzebne żadne zaawansowane narzędzia; wystarczyło powszechnie wyśmiewane hasło złożone z pierwszych sześciu cyfr.

Osoba odpowiedzialna za atak ujawniła, że kluczem do sukcesu okazało się przejęcie dostępu do prywatnej firmy, która posiadała legalne uprawnienia do przeszukiwania państwowej bazy w ramach weryfikacji klientów biznesowych.

Jak ujawniły duńskie media, przedsiębiorstwo dysponowało co najmniej trzema profilami zabezpieczonymi banalnym ciągiem „123456”, z czego jeden z nich posiadał pełne uprawnienia administratora. Skrajna nieodpowiedzialność administratorów otworzyła napastnikowi drogę do przeprowadzenia kilkunastu milionów zautomatyzowanych zapytań w zaledwie dziesięć dni.

Co najbardziej kuriozalne w całej sprawie, naruszenia nie wykryły żadne wewnętrzne systemy alarmowe czy zapory sieciowe. Nieuprawniony proceder wyszedł na jaw dopiero po ponad dwóch tygodniach od rozpoczęcia infiltracji, gdy urzędnik ministerstwa odpowiedzialnego za cyfryzację zwrócił uwagę na podejrzanie wysoki rachunek za generowane zapytania do bazy danych.

Choć autor włamania zapewnia publicznie, że nie zamierza handlować pobranymi rekordami ani publikować ich w sieci, cała sytuacja obnażyła zatrważające luki w procedurach nadzoru nad zewnętrznymi podmiotami przetwarzającymi kluczowe informacje państwowe.

Praktyka ta pokazuje, że hakerzy wcale nie muszą dysponować potężnymi farmami obliczeniowymi naszpikowanymi najnowocześniejszymi kartami graficznymi, by wyrządzić gigantyczne szkody. Wystarczy znać maile, które przecież często wyciekają z witryn, na których składamy chociażby zamówienia, a następnie wstukiwać takie hasła jak 123456 czy qwerty.