Senha “123456” teria permitido a hackers acessar dados de 8,8 milhões de pessoas

O CPR, o registro civil nacional da Dinamarca, foi comprometido por uma invasão que expôs 8,8 milhões de registros de cidadãos dinamarqueses.

O vetor de ataque não foi um exploit sofisticado ou uma operação patrocinada por estado: foi a senha “123456” , usada por uma das contas de uma empresa terceirizada com acesso ao banco de dados governamental.

Segundo o The Register , o ponto de entrada foi a Pays ApS, uma empresa de TI e serviços de dados que oferece aos clientes acesso de consulta ao CPR.

A empresa funciona como intermediária: ela tem credenciais válidas junto ao banco de dados estatal e as revende como serviço.

O problema é que ao menos uma dessas credenciais estava protegida pela senha mais batida da história da segurança da informação.

A diretora-gerente da Pays ApS, Sophie Laursen, confirmou que o invasor utilizou o acesso da empresa ao banco de dados para extrair os registros.

O governo de Copenhague confirmou formalmente o ataque.

O detalhe que mais incomoda é o timing: a brecha só foi descoberta 12 dias depois que ocorreu, quando uma fatura revelou um volume anormal de atividade associado à empresa.

Ou seja, durante quase duas semanas, um ator externo percorreu à vontade um dos registros civis mais abrangentes da Europa, com informações de praticamente todos os cidadãos do país, sem que nenhum sistema de detecção ativo tivesse soado o alarme.

O governo não divulgou o nome da empresa explorada, mas a própria Pays ApS assumiu o vínculo.

O invasor, por sua vez, afirmou não ter intenção de vender ou vazar os dados, o que, convenhamos, é uma promessa de validade incerta.

Terceirizado fraco, sistema comprometido O episódio expõe uma contradição estrutural que acomete governos ao redor do mundo, pois você pode construir um banco de dados com camadas robustas de proteção interna e ainda assim perder tudo por causa de um fornecedor que não exige nem um mínimo de política de senhas.

O elo mais fraco da cadeia não estava no CPR em si, mas na empresa que vendia acesso a ele.

Um sistema que armazena dados de praticamente toda a população de um país não deveria permitir autenticação com senha simples, sem ao menos exigir autenticação de dois fatores para qualquer conta com privilégios de consulta.