Le mot de passe « 123456 » permet à un pirate informatique d'accéder au système CPR danois, exposant les données de 8,8 millions de personnes

Soit une grande partie de la population du pays

Une personne revendiquant la responsabilité de la violation du Registre central des personnes (CPR) du Danemark affirme avoir accédé au système via le compte d'un prestataire informatique dont la sécurité reposait uniquement sur le mot de passe « 123456 ». Cette violation met en évidence les risques opérationnels importants auxquels s'exposent les organisations qui font appel à des prestataires tiers pour accéder à des bases de données nationales sensibles. Le gouvernement danois a confirmé que les informations de 8,8 millions de personnes avaient été consultées lors de cet incident. L'intrusion est restée indétectée pendant douze jours après la dernière recherche automatisée effectuée le 20 septembre. L'auteur de l'attaque a déclaré qu'il n'avait pas l'intention de vendre ni de divulguer les données volées.

Le numéro d'identification personnel danois est un numéro d'identification national qui fait partie des informations personnelles enregistrées dans le système d'état civil. Ce registre a été créé en 1968 en regroupant en un seul fichier les informations issues de tous les registres d'état civil municipaux du Danemark. Il est entré en vigueur au Groenland par décret royal, avec effet au 1er juillet 1972. Il s'agit d'un numéro à dix chiffres au format JJMMAA-SSSS, où JJMMAA correspond à la date de naissance et SSSS à un numéro d'ordre. Le premier chiffre du numéro d'ordre indique le siècle de naissance (afin de distinguer les centenaires des nourrissons), et le dernier chiffre du numéro d'ordre est impair pour les hommes et pair pour les femmes.

Une personne revendiquant la responsabilité de la violation du CPR du Danemark affirme avoir accédé au système via le compte d’un prestataire informatique dont la sécurité reposait uniquement sur le mot de passe « 123456 ». Cette violation met en évidence les risques opérationnels importants auxquels s’exposent les organisations qui font appel à des prestataires tiers pour accéder à des bases de données nationales sensibles.

Comment les événements se sont déroulés

• 10 septembre : le pirate a accédé au système CPR via les comptes de Pays ApS.
  
• Du 10 au 20 septembre : le pirate a effectué environ 14 millions de recherches automatisées dans le registre.
  
• 2 octobre : l'intrusion a été détectée par un agent de l'administration qui examinait une facture.
  
• 5 octobre : l'administration du CPR a confirmé que la violation concernait 8,8 millions de personnes.
  
• 9 octobre : Sophie Laursen, directrice générale de Pays ApS, a confirmé que l'accès de l'entreprise avait été piraté.

Qui sont les personnes concernées ?

Le gouvernement danois a confirmé que les informations de 8,8 millions de personnes avaient été consultées lors de cet incident. Le registre contient au total environ 11 millions d’enregistrements, dont des données relatives à des personnes décédées ou ayant déménagé à l’étranger. L’auteur de l’attaque a déclaré qu’il n’avait pas l’intention de vendre ni de divulguer les données volées.

Le point de vue sur la réaction

L’intrusion est restée indétectée pendant douze jours après la dernière recherche automatisée effectuée le 20 septembre. Mikkel Leihardt, directeur au ministère de l’Enseignement supérieur et des Sciences, a expliqué que la faille n’avait été découverte qu’après qu’un membre du personnel eut remarqué une facture indiquant une activité inhabituellement élevée de la part du fournisseur Pays ApS. Le fait de s’être appuyé sur des anomalies de facturation pour détecter l’intrusion suggère des lacunes dans la surveillance des journaux d’accès en temps réel.

Questions à poser aux fournisseurs

Les organisations doivent immédiatement revoir les contrôles d’accès pour tous les fournisseurs tiers disposant d’un accès privilégié au système. Les équipes doivent généralement vérifier si les fournisseurs imposent l’utilisation d’identifiants forts et uniques, plutôt que de mots de passe partagés ou simples. Il leur appartient de vérifier si leurs contrats exigent des fournisseurs qu’ils signalent rapidement toute activité suspecte ou tout comportement d’utilisation anormal. Les organisations doivent également s'assurer que les équipes de sécurité internes soient informées de tout changement concernant les comptes des fournisseurs. Enfin, elles doivent déterminer si les outils de surveillance actuels sont capables de détecter des volumes de requêtes inhabituels provenant de partenaires externes avant qu’une fuite de données importante ne se produise.

En novembre 2022, malgré une sensibilisation croissante à la cybersécurité, les vieilles habitudes avaient la vie dure. Une recherche montrait que les mots de passe faibles étaient toujours autant utilisés par la plupart des personnes pour protéger leurs comptes. Les chaînes de chiffres séquentielles « 123456 », « 123456789 » et « azerty » restaient les choix de mot de passe les plus populaires pour les utilisateurs en France malgré leur insécurité. Une recherche annuelle sur les 200 mots de passe les plus populaires publiée par NordPass avait également révélé qu'en France, « password », « loulou » et « doudou » figuraient dans le top 10 des mots de passe les plus utilisés. La liste des mots de passe avait été établie en partenariat avec des chercheurs indépendants spécialisés dans la recherche d'incidents de cybersécurité.

Source : L'administration de la CPR

Et vous ?

Pensez-vous que cette information est crédible ou pertinente ?
Quel est votre avis sur le sujet ?

Voir aussi :

Les mots de passe faibles permettent encore aux pirates de pénétrer dans les réseaux, 83 % des mots de passe compromis satisfont aux exigences des normes de conformité en matière de cybersécurité

60 % des mots de passe hachés en MD5 pourraient être piratés en moins d'une heure à l'aide d'une seule carte graphique Nvidia RTX 5090, et 48 % en moins d'une minute, d'après Kaspersky

Quand "12345" devient le mot de passe préféré des 18-25 ans : la génération Z est officiellement moins douée pour les mots de passe que les personnes âgées de 80 ans, selon une étude