Cơ quan quản lý Hệ thống Đăng ký Dân cư Trung ương Đan Mạch (CPR) xác nhận một bên không có thẩm quyền đã lợi dụng quyền truy cập hợp pháp của doanh nghiệp trong nước để tra cứu dữ liệu. Thông tin bị truy cập gồm tên, địa chỉ, số CPR và một số dữ liệu khác liên quan đến khoảng 8,8 triệu hồ sơ.
Số CPR là mã định danh cá nhân được sử dụng rộng rãi tại Đan Mạch. Hệ thống hiện chứa khoảng 11 triệu hồ sơ, bao gồm người đang sinh sống trong nước, người đã chuyển ra nước ngoài và người đã qua đời. Đây là lý do số hồ sơ bị ảnh hưởng cao hơn dân số khoảng 6 triệu người của Đan Mạch.
Theo thông báo chính thức của cơ quan CPR, tên và địa chỉ của những người đăng ký chế độ bảo vệ thông tin không nằm trong phần dữ liệu bị truy cập. Cơ quan này đã khóa quyền truy cập của doanh nghiệp liên quan, thông báo vụ việc cho cơ quan bảo vệ dữ liệu và chuyển hồ sơ để cảnh sát điều tra.
Một mật khẩu không nên xuất hiện trong hệ thống nhạy cảm
Doanh nghiệp bị lợi dụng quyền truy cập được xác định là Pays ApS, một công ty cung cấp dịch vụ dữ liệu tại thành phố Odense. Pays xác nhận với TV 2 rằng quyền tra cứu hợp pháp của công ty trong hệ thống CPR đã bị kẻ xấu sử dụng.
Điều gây chú ý nằm ở cách tài khoản có thể đã bị chiếm đoạt. Theo điều tra của Politiken, ít nhất ba tài khoản tại Pays từng sử dụng mật khẩu “123456”, trong đó có một tài khoản quản trị. TV 2 cũng cho biết một email chứa mật khẩu này, được cho là liên quan đến nhân viên cũ của công ty, từng xuất hiện trong một vụ rò rỉ dữ liệu khác.
Một người tự nhận là thủ phạm nói với Politiken rằng họ đã dùng thông tin đăng nhập này để vào hệ thống. Tuy nhiên, giới chức Đan Mạch chưa xác nhận “123456” thực sự là mật khẩu được sử dụng trong vụ tấn công, cũng chưa công bố danh tính hay động cơ của người đứng sau.
Các nguồn tin quốc tế như El País và The Register đều lưu ý rằng phần “123456” hiện vẫn là thông tin từ điều tra báo chí và lời kể của người nhận trách nhiệm, không phải kết luận chính thức của nhà chức trách.
14 triệu lượt tra cứu chỉ lộ ra vì hóa đơn bất thường
Tài liệu được TV 2 tiếp cận cho thấy hoạt động khai thác dữ liệu bắt đầu từ ngày 10/9. Khoảng 14 triệu lượt tra cứu tự động được thực hiện trong mười ngày tiếp theo, nhưng quyền truy cập của doanh nghiệp chỉ bị khóa vào ngày 2/10.
Điều đáng lo hơn là hệ thống dường như không phát cảnh báo khi một tài khoản doanh nghiệp đột ngột thực hiện hàng triệu yêu cầu. Sự việc được chú ý sau khi một nhân viên phát hiện hóa đơn tra cứu của Pays tăng cao bất thường. Mỗi lượt tìm kiếm trong hệ thống CPR đều phát sinh một khoản phí nhỏ, khiến quy mô hoạt động cuối cùng thể hiện trên hóa đơn.
Cơ quan CPR chính thức xác nhận khoảng 8,8 triệu hồ sơ đã bị truy cập, nhưng chưa công bố toàn bộ dữ liệu được lấy đi hoặc liệu thông tin đã được chuyển cho bên khác hay chưa. Người tự nhận là thủ phạm tuyên bố không có ý định bán hay công khai dữ liệu, song lời khẳng định này chưa thể được kiểm chứng.
Vụ việc không chỉ cho thấy hậu quả của một mật khẩu yếu. Một tài khoản của bên thứ ba đã có thể thực hiện hàng triệu lượt tra cứu mà không lập tức kích hoạt cảnh báo. Khi doanh nghiệp được trao quyền truy cập vào cơ sở dữ liệu nhạy cảm, cơ chế xác thực và giám sát của đơn vị đó cũng trở thành một phần trong hệ thống bảo mật quốc gia.
Tuấn Nguyễn