Danimarka nüfus kayıt sistemi (CPR), yakın vakitte gerçekleşen bir siber hücum ile gündeme geldi. Yaklaşık 8,8 milyon şahsa ilişkin hassas bilgilerin, üçüncü taraf bir şirket üzerinden sızdırıldığı ortaya çıktı.

Saldırganların sisteme giriş yapmak için epeyce kolay bir prosedür kullandığı belirlendi. Olay, kurumların üçüncü taraf erişimlerinde ne kadar dikkatli olması gerektiğini bir defa daha gözler önüne serdi.

Zayıf şifre ve bilgi sızıntısı

Danimarka’nın ulusal nüfus kayıt sistemi olan CPR, vatandaşların isim, adres, doğum tarihi, vatandaşlık durumu ve uygar hal üzere kritik bilgilerini barındırıyor. Her bireye atanan 10 haneli CPR numarası; sıhhat, vergi ve bankacılık üzere pek çok alanda kullanılıyor.

Sisteme sızan saldırganın, Pays ApS isimli üçüncü taraf bir şirketin yasal erişim yetkilerini berbata kullandığı bildirildi. Saldırganın, eski bir çalışana ilişkin giriş bilgilerini kullandığı ve şifrenin 123456 olduğu tez edildi.

Bu durum, sistemin güvenliğinin ne kadar savunmasız kaldığını gösteriyor. Saldırgan, üç farklı hesapta da tıpkı kolay şifrenin kullanıldığını belirtti.

Pays ApS, CPR sistemine erişim yetkisi olan şirketlerden biriydi ve bu yetki üzerinden sisteme sızılması, tedarik zinciri akınlarının tehlikesini ortaya koydu. Şirketin idaresi, taarruzun kendi sistemleri üzerinden gerçekleştiğini doğruladı.

Saldırının ayrıntıları ve güvenlik açığı

Yerel medya kuruluşu TV 2’nin aktardığına nazaran, saldırgan on gün içerisinde 14 milyon otomatik arama gerçekleştirdi. Ay sonunda bir devlet çalışanının, Pays ApS’nin loglarında olağan dışı bir hareketlilik fark etmesiyle ihlal tespit edildi.

Pays ApS’nin web sitesi hücumun akabinde süreksiz olarak çevrim dışı bırakıldı. Saldırgan, dataları sızdırma yahut satma niyetinin olmadığını söz ederek, sistemin zayıf güvenlik tedbirlerine şaşırdığını lisana getirdi.

Saldırgan, durumu bir benzetme ile açıklayarak, “Birisi tren istasyonunda 10 kilo plütonyum dolu bir bavulu sahipsiz bırakıyor ve bir evsiz onu çalıyor” sözünü kullandı. Bağımsız siber güvenlik araştırmacısı Emil Hørning, saldırganın sistemlerinin inandırıcı olduğunu doğruladı.

Saldırgan, Politiken gazetesine CPR numaralarını içeren bir belge sunarak argümanlarını destekledi. Bu deliller, ihlalin boyutunun ciddiyetini gözler önüne serdi.

Soruşturma süreci devam ediyor

CPR tarafından yapılan açıklamada, soruşturmanın devam ettiği ve sistemin güvenlik tedbirlerinin artırıldığı belirtildi. İhlal edilen bilgiler arasında CPR numaralarının yanı sıra isimler ve adresler de bulunuyor.

Bu çeşit bilgilerin, maksada yönelik kimlik avı ataklarında kullanılabileceği konusunda uzmanlar uyarıyor. Kelam konusu taarruz, devlet kurumlarının üçüncü taraf şirketlerle olan bilgi paylaşım protokollerini yine gözden geçirmesi gerektiğini hatırlatıyor.

Güvenlik uzmanları, bilhassa eski çalışanlara ilişkin hesapların kapatılmaması yahut şifrelerin güncellenmemesinin büyük riskler doğurduğunu vurguluyor. 8,8 milyon kişinin verisinin bu kadar kolay bir metotla ele geçirilmesi, dijital güvenlik standartlarının değerini bir sefer daha kanıtlıyor.

Sizce devlet kurumları, üçüncü taraf şirketlerin erişimlerini denetlemek için kâfi tedbirlere sahip mi?

Kaynak: Shiftdelete