Passwort „123456“ bei dänischem Anbieter führt zu Datenleck im Melderegister
Laut der dänischen Zeitung Politiken verfügten mindestens drei Benutzerkonten des dänischen IT-Unternehmens Pays über das Passwort „123456“, als sich ein Hacker Zugriff auf das dänische Bevölkerungsregister (CPR) verschaffte. Eines dieser Konten war das Administratorkonto des Unternehmens. Der Vorfall verdeutlicht, wie eine schwache Basismaßnahme weitreichende Folgen haben kann.
Durch das Datenleck wurden Informationen zu etwa 8,8 Millionen CPR-Nummern bekannt. Das CPR-Register ist die zentrale Bevölkerungsverwaltung Dänemarks und enthält personenbezogene Daten von Personen, die in Dänemark leben oder dort zuvor gemeldet waren. Politiken gibt an, Daten aus dem Leck eingesehen zu haben, die der Hacker nach eigenen Angaben für den Einbruch verwendet hat.
Pays ApS mit Sitz in Odense auf der Insel Fünen bestätigte am Freitag gegenüber TV 2, dass es sich um das betroffene Unternehmen handelt. Sophie Laursen, Eigentümerin und Geschäftsführerin von Pays, schrieb in einer E-Mail, dass das Unternehmen angegriffen wurde und der rechtmäßige Zugang des Unternehmens zur Datenabfrage im CPR-System missbraucht wurde. Laut dem dänischen Unternehmensregister hatte Pays im Juli 2026 zwei Mitarbeiter. Ein kleines Unternehmen erhielt somit Zugriff auf ein hochsensibles Register.
Der Hacker hatte ab dem 10. September insgesamt 21 Tage und 17 Stunden lang Zugriff auf das Register. Dies entspricht einem Zeitraum von mehr als drei Wochen, in dem Daten abgerufen werden konnten. Für Ihre Organisation ist dies ein Anlass zu prüfen, ob ungewöhnliche Zugriffe auf sensible Systeme schnell genug erkannt werden.
Ein anonymer Hacker gab gegenüber Politiken an, hinter dem Angriff zu stehen, und behauptete, dass es nicht besonders schwierig gewesen sei, einzudringen. Laut dieser Person erfolgte der Zugriff zunächst über ein durchgesickertes Passwort eines ehemaligen Mitarbeiters eines kleinen dänischen Unternehmens.
Danach soll der Hacker zwei Computerprogramme erstellt haben, um Daten aus dem CPR-System abzurufen und extern zu speichern. Der Hacker gibt an, nicht zu beabsichtigen, die Daten zu verkaufen oder zu veröffentlichen. Hierbei handelt es sich um Behauptungen des Hackers selbst.
Lesen Sie den Artikel auf dutchitleaders.nl für weitere Informationen.