Danimarka'da 8,8 milyon kişinin bilgileri basit bir şifreyle ele geçirildi

Danimarka'nın ulusal nüfus kayıt sistemi olan CPR'de, yaklaşık 8,8 milyon kişinin kişisel bilgilerinin ele geçirildiği bildirildi. Eylül 2026'da gerçekleştiği belirtilen bu olay, karmaşık bir siber saldırıdan ziyade, basit bir güvenlik açığı nedeniyle meydana geldi. Yetkili bir şirketin kullandığı hesaplardan birinin parolasının "123456" olması, bu siber ihlalin temel sebebi olarak öne çıkıyor.

Danimarka Ulusal Nüfus Kayıt Sistemi Nedir?

Danimarka Ulusal Nüfus Kayıt Sistemi (CPR), ülkede yaşayanların isim, adres, doğum tarihi, vatandaşlık ve medeni durum gibi bilgilerini içeren önemli bir veri tabanıdır. Bu sistemde her bireye atanan 10 haneli CPR numarası, sağlık hizmetlerinden bankacılığa kadar birçok alanda kullanılmaktadır. Yetkililer, CPR veri tabanının doğrudan hacklenmediğini, bunun yerine yasal sorgulama yetkisine sahip bir özel şirketin sistemine erişim haklarının kötüye kullanıldığını açıkladı.

Saldırının Detayları

Saldırının, Danimarka'nın Fyn adasında faaliyet gösteren IT hizmetleri şirketi Pays ApS üzerinden yapıldığı bildirilmektedir. Eylül ayının sonunda bir kamu görevlisi, şirketin hesaplarından olağan dışı sorgulamaları fark etti. Yapılan incelemelerde, saldırganın otomatik yazılımlar kullanarak 10 gün içinde yaklaşık 14 milyon sorgulama gerçekleştirdiği belirlendi. Bu sorgulamalar sonucunda 8,8 milyon kişiye ait kayıtların ele geçirildiği öne sürülüyor.

Ele Geçirilen Veriler ve Riskler

Danimarka'nın toplam nüfusu yaklaşık altı milyon olmasına rağmen, CPR sisteminde vefat edenler ve yurt dışında yaşayanlarla birlikte yaklaşık 11 milyon kayıt bulunmaktadır. Ele geçirildiği belirtilen 8,8 milyon kaydın 5,5 milyonu yaşayan kişilere, geri kalanı ise geçmiş kayıtlara aittir. Bu durum, kimlik hırsızlığı, oltalama saldırıları ve dolandırıcılık gibi ciddi riskler taşımaktadır.

Saldırganın Yöntemleri

Saldırgan, gazetecilerle şifreli mesajlaşma uygulamaları üzerinden iletişim kurarak, eski bir çalışana ait hesaba "123456" parolasını kullanarak giriş yaptığını iddia etti. Ayrıca, aynı parolanın kullanıldığı üç farklı hesap daha bulduğunu öne sürdü. Saldırgan, otomatik betiklerle verileri dışarı aktardığını ancak bunları satmayı veya kamuoyuna sızdırmayı amaçlamadığını belirtti. En büyük şaşkınlığının, bu kadar hassas bilgilere bu kadar basit bir parolayla erişilebilmesi olduğunu ifade etti.

Sonuç

Bu olay, kamu kurumlarının kendi sistemlerini korumasının tek başına yeterli olmadığını, aynı zamanda bu sistemlere erişim izni verilen özel şirketlerin güvenliğinin de kritik öneme sahip olduğunu göstermektedir. Siber güvenlik uzmanları, bu tür ihlallerin önlenmesi için çok daha güçlü parola politikalarının ve erişim kontrollerinin uygulanması gerektiğini vurgulamaktadır.