Danimarka Nüfus Kayıt Sisteminde 8,8 Milyon Veri Sızdırıldı

Danimarka'nın ulusal nüfus kayıt sistemi olan CPR, yakın zamanda yaşanan bir siber saldırı sonucunda büyük bir veri ihlaline maruz kaldı. Yaklaşık 8,8 milyon kişinin kişisel verilerinin, üçüncü taraf bir şirket aracılığıyla sızdırıldığı bildirildi. Bu durum, devlet kurumlarının veri güvenliği konusundaki zafiyetlerini bir kez daha gözler önüne serdi.

Saldırının Detayları ve Kullanılan Yöntem

Saldırganların sisteme giriş yapmak için oldukça basit bir şifre kullandığı belirlendi. Edinilen bilgilere göre, Pays ApS adlı üçüncü taraf bir şirketin yasal erişim yetkileri kötüye kullanıldı. Saldırgan, eski bir çalışana ait giriş bilgilerini kullanarak sisteme erişim sağladı. İddialara göre, saldırganın kullandığı şifre ise 123456 gibi basit bir şifreydi.

Bu durum, devlet kurumlarının üçüncü taraf erişimlerinde daha dikkatli olmaları gerektiğini gösteriyor. Saldırganın, üç farklı hesapta aynı şifrenin kullanıldığını belirtmesi, güvenlik açıklarının ne denli ciddi olduğunu ortaya koyuyor.

Saldırının Tespit Edilmesi

Yerel medya kaynakları, saldırganın on gün içinde 14 milyon otomatik arama gerçekleştirdiğini bildirdi. Bu olağan dışı hareketlilik, bir devlet çalışanı tarafından Pays ApS’nin loglarında fark edildi ve ihlal tespit edildi. Saldırının ardından Pays ApS’nin web sitesi geçici olarak çevrimdışı bırakıldı. Saldırgan, verileri sızdırma veya satma niyetinin olmadığını belirterek, sistemin zayıf güvenlik önlemlerine şaşırdığını ifade etti.

Saldırganın Açıklamaları ve Uzman Görüşleri

Saldırgan, durumu bir benzetme ile açıklayarak, “Birisi tren istasyonunda 10 kilo plütonyum dolu bir bavulu sahipsiz bırakıyor ve bir evsiz onu çalıyor” şeklinde bir ifade kullandı. Bağımsız siber güvenlik araştırmacısı Emil Hørning, saldırganın yöntemlerinin inandırıcı olduğunu doğruladı. Saldırgan, Politiken gazetesine CPR numaralarını içeren bir dosya sunarak iddialarını destekledi ve bu kanıtlar, ihlalin boyutunun ciddiyetini gözler önüne serdi.

Verilerin Kullanım Riski ve Güvenlik Önlemleri

Sızdırılan veriler arasında CPR numaraları, isimler ve adresler yer alıyor. Uzmanlar, bu tür verilerin hedefe yönelik kimlik avı saldırılarında kullanılabileceği konusunda uyarıyor. Ayrıca, devlet kurumlarının üçüncü taraf şirketlerle olan veri paylaşım protokollerini yeniden gözden geçirmesi gerektiği vurgulanıyor. Güvenlik uzmanları, özellikle eski çalışanlara ait hesapların kapatılmaması veya şifrelerin güncellenmemesinin büyük riskler doğurduğunu belirtiyor.

Sonuç

8,8 milyon kişinin verisinin bu kadar basit bir yöntemle ele geçirilmesi, dijital güvenlik standartlarının önemini bir kez daha kanıtlıyor. Devlet kurumlarının, üçüncü taraf şirketlerin erişimlerini denetlemek için yeterli önlemlere sahip olup olmadığını sorgulamak gerekiyor. Bu tür olaylar, veri güvenliğinin sağlanması için daha sıkı önlemlerin alınmasını şart koşuyor.