Cơ quan quản lý Hệ thống Đăng ký Dân cư Trung ương Đan Mạch (CPR) xác nhận một bên không có thẩm quyền đã lợi dụng quyền truy cập hợp pháp của một doanh nghiệp trong nước để tra cứu dữ liệu. Thông tin bị truy cập bao gồm tên, địa chỉ, số CPR và một số dữ liệu liên quan của khoảng 8,8 triệu hồ sơ.

CPR là mã định danh cá nhân được sử dụng phổ biến tại Đan Mạch. Hệ thống hiện lưu trữ khoảng 11 triệu hồ sơ, bao gồm người đang sinh sống trong nước, người đã ra nước ngoài và người đã qua đời. Vì vậy, số hồ sơ bị ảnh hưởng vượt xa dân số khoảng 6 triệu người của quốc gia này.

Theo thông báo chính thức, tên và địa chỉ của những người đăng ký chế độ bảo vệ thông tin không nằm trong phạm vi dữ liệu bị truy cập. Cơ quan CPR đã đình chỉ quyền truy cập của doanh nghiệp liên quan, thông báo sự việc cho cơ quan bảo vệ dữ liệu và chuyển hồ sơ cho cảnh sát điều tra.

Tài khoản bị nghi chiếm đoạt có mật khẩu dễ đoán

Doanh nghiệp liên quan là Pays ApS, công ty cung cấp dịch vụ dữ liệu tại thành phố Odense. Pays xác nhận với TV 2 rằng quyền tra cứu hợp pháp của mình trong hệ thống CPR đã bị kẻ xấu lợi dụng.

Theo điều tra của Politiken, ít nhất ba tài khoản tại Pays từng sử dụng mật khẩu “123456”, trong đó có một tài khoản quản trị. TV 2 cũng đưa tin một email chứa mật khẩu này, được cho là có liên quan đến một nhân viên cũ của công ty, từng xuất hiện trong một vụ rò rỉ dữ liệu khác.

Một người tự nhận là thủ phạm nói với Politiken rằng họ đã sử dụng thông tin đăng nhập nói trên để truy cập hệ thống. Tuy nhiên, giới chức Đan Mạch chưa xác nhận mật khẩu “123456” thực sự được dùng trong vụ việc, đồng thời chưa công bố danh tính hoặc động cơ của người đứng sau.

Các nguồn tin quốc tế như El País và The Register cũng lưu ý rằng thông tin về mật khẩu hiện dựa trên kết quả điều tra báo chí và lời nhận trách nhiệm của một cá nhân, chưa phải kết luận chính thức của cơ quan chức năng.

14 triệu lượt tra cứu chỉ bị phát hiện nhờ hóa đơn tăng bất thường

Tài liệu TV 2 tiếp cận cho thấy hoạt động khai thác dữ liệu bắt đầu từ ngày 10/9. Trong 10 ngày tiếp theo, khoảng 14 triệu lượt tra cứu tự động được thực hiện. Tuy nhiên, đến ngày 2/10, quyền truy cập của doanh nghiệp mới bị khóa.

Đáng lo ngại, hệ thống dường như không phát cảnh báo khi một tài khoản doanh nghiệp đột ngột gửi tới hàng triệu yêu cầu tra cứu. Vụ việc chỉ được chú ý sau khi một nhân viên phát hiện hóa đơn sử dụng dịch vụ của Pays tăng bất thường. Mỗi lượt tìm kiếm trong hệ thống CPR đều phát sinh một khoản phí nhỏ, qua đó làm lộ quy mô hoạt động.

Cơ quan CPR xác nhận khoảng 8,8 triệu hồ sơ đã bị truy cập, nhưng chưa công bố đầy đủ dữ liệu nào đã bị lấy đi hoặc liệu thông tin có được chuyển cho bên khác hay không. Người tự nhận là thủ phạm tuyên bố không có ý định bán hoặc công khai dữ liệu, song tuyên bố này vẫn chưa được kiểm chứng.

Vụ việc cho thấy rủi ro không chỉ đến từ mật khẩu yếu mà còn nằm ở khả năng giám sát hoạt động truy cập. Một tài khoản của bên thứ ba có thể thực hiện hàng triệu lượt tra cứu mà không lập tức kích hoạt cảnh báo. Khi doanh nghiệp được cấp quyền tiếp cận cơ sở dữ liệu nhạy cảm, cơ chế xác thực và giám sát tại doanh nghiệp đó cũng trở thành một mắt xích quan trọng trong hệ thống bảo mật quốc gia.

Khánh Phương