Password “123456” abriu a porta a dados de quase 9 milhões na Dinamarca

O caricato e o perigoso acabam de se cruzar no mundo da cibersegurança. Como revelámos, um atacante acedeu ao registo civil central da Dinamarca e extrair dados de quase 9 milhões de pessoas. O pior é o que se soube agora. Não envolveu ferramentas nem a exploração de vulnerabilidades. Bastou a password mais previsível do planeta: “123456”.

O caso teve origem na Pays ApS, uma pequena empresa de serviços informáticos sediada em Odense que contava com apenas dois colaboradores. Por prestar serviços legítimos de validação de dados a terceiros, a firma mantinha credenciais de acesso direto à base de dados do Registo Pessoal Central (CPR). Segundo se sabe, pelo menos três contas estavam desprotegidas. Uma delas foi invadida através da password fraca associada a um antigo funcionário.

Três semanas de acesso sem qualquer bloqueio

A intrusão prolongou-se por quase três semanas sem que ninguém se apercebesse. O hacker terá operado no sistema durante 21 dias e 17 horas, período em que usou dois scripts para recolher em massa os registos e guardá-los fora da rede oficial. Embora o atacante garanta que não tem intenção de vender ou divulgar publicamente o ficheiro, o volume de informação consultada abrange a esmagadora maioria dos cidadãos vivos e falecidos registados no país.

A vulnerabilidade põe a nu a fragilidade das cadeias de fornecedores no setor público. Por mais que os sistemas centrais de um país invistam em perímetros avançados de defesa, o elo mais fraco continua a residir nas pontas de acesso concedidas a parceiros privados. Conceder permissões para consultar milhões de cidadãos a estruturas sem políticas mínimas de complexidade de passwords ou autenticação de dois fatores é uma receita clássica para o desastre.

O impacto real nos cidadãos e o papel do MitID

A base de dados do CPR funciona como a espinha dorsal de identificação na Dinamarca, contendo dados fiscais, moradas e números de identificação únicos. No entanto, o risco de roubo de identidade acaba por ser contido pelo sistema nacional MitID. É a solução de duplo fator necessária para validar transações bancárias e acessos a portais do Estado. Ter apenas o número de identificação não permite esvaziar contas ou solicitar créditos de forma imediata.

O perigo reside agora noutro patamar: os esquemas de engenharia social. Na posse de dados completos, qualquer cibercriminoso pode construir campanhas de phishing e mensagens fraudulentas quase perfeitas, fazendo-se passar por bancos ou serviços de saúde. As autoridades locais já alertaram a população para desconfiar de chamadas ou SMS não solicitados que apresentem dados pessoais para exigir códigos de segurança.

A empresa implicada já confirmou publicamente que os seus acessos legais foram abusados, enquanto decorrem averiguações técnicas e legais para apurar responsabilidades. O episódio deixa um aviso claro para qualquer administrador de sistemas que ainda negligencie requisitos elementares de segurança: nenhuma infraestrutura está protegida se uma password básica continuar a servir de chave mestra.