"123456" Parolasıyla 8,8 Milyon Danimarkalı Bilgileri Tehlikede: Ulusal Nüfus Kayıt Sisteminde Şok Güvenlik Açığı
Danimarka'da ulusal nüfus kayıt sistemine erişim yetkisi bulunan özel bir şirketin hesabının, '123456' gibi son derece zayıf bir parola ile korunduğu ortaya çıktı. Bu durum, yaklaşık 8,8 milyon kişinin kişisel bilgilerinin ele geçirilmesi iddialarını beraberinde getirdi.
Danimarka'da siber güvenlik dünyasını sarsan bir iddia gündeme geldi: Ülkenin ulusal nüfus kayıt sistemine erişim yetkisi olan bir özel şirketin hesabının, akıl almaz derecede basit bir parola ile korunduğu ve bu zafiyetin yaklaşık 8,8 milyon kişinin kişisel bilgilerinin ele geçirilmesine yol açtığı öne sürülüyor. Eylül 2026'da gerçekleştiği belirtilen bu olay, karmaşık bir siber saldırıdan ziyade, temel güvenlik önlemlerinin bile göz ardı edildiği bir zafiyetin altını çiziyor.
Danimarka Ulusal Nüfus Kayıt Sistemi (CPR), ülkenin tüm sakinlerinin isim, adres, doğum tarihi, vatandaşlık ve medeni durum gibi hayati bilgilerini barındırıyor. Her bireye atanan 10 haneli CPR numarası, sağlık hizmetlerinden bankacılık işlemlerine, vergi süreçlerinden diğer pek çok resmi işleme kadar geniş bir yelpazede kimlik doğrulama aracı olarak kullanılıyor. Yetkililer, merkezi CPR veri tabanının doğrudan hacklenmediğini belirtse de, sistemde yasal sorgulama yapma yetkisine sahip özel bir şirketin erişim haklarının kötüye kullanıldığı anlaşılıyor. Bu durum, hassas verilerin korunmasında üçüncü taraf tedarikçilerin güvenliğinin ne denli kritik olduğunu bir kez daha gözler önüne seriyor.
Yerel basında çıkan haberlere göre, bu kritik güvenlik açığının Danimarka'nın Fyn adasında faaliyet gösteren IT hizmetleri şirketi Pays ApS üzerinden tetiklendiği belirtiliyor. Eylül ayının sonlarına doğru bir kamu görevlisinin, şirketin hesaplarındaki olağandışı sorgulamaları fark etmesiyle olay zinciri başladı. Yapılan incelemeler, saldırganın otomatik yazılımlar kullanarak sadece 10 gün içinde yaklaşık 14 milyon sorgulama gerçekleştirdiğini ortaya koydu. Bu yoğun sorgulama faaliyeti sonucunda, 8,8 milyon kişiye ait kaydın ele geçirildiği iddia ediliyor. Danimarka'nın yaşayan nüfusu yaklaşık altı milyon olsa da, CPR sisteminde vefat edenler ve yurt dışında yaşayan vatandaşlar da dahil olmak üzere yaklaşık 11 milyon kayıt bulunuyor. Ele geçirildiği belirtilen 8,8 milyon kaydın 5,5 milyonunun yaşayan kişilere, geri kalanının ise geçmiş kayıtlara ait olduğu tahmin ediliyor.
Saldırgan olduğu iddia edilen kişi, gazetecilerle şifreli mesajlaşma uygulamaları üzerinden kurduğu iletişimde, eski bir çalışana ait hesaba '123456' parolasıyla giriş yaptığını iddia etti. Dahası, aynı zayıf parolanın kullanıldığı üç farklı hesap daha tespit ettiğini öne sürdü. Saldırgan, otomatik betikler aracılığıyla verileri dışarı aktardığını ancak bunları satmayı veya kamuoyuna sızdırmayı amaçlamadığını belirtti. Kendi ifadesine göre, asıl şaşkınlığı, bu denli hassas bilgilere böylesine basit bir parola ile erişilebilmesiydi. Bağımsız siber güvenlik uzmanları da paylaşılan örnek verileri inceleyerek ihlal iddialarını doğruladı. Ele geçirildiği belirtilen veriler arasında isim, adres ve CPR numarası gibi kritik bilgilerin bulunduğu bildirildi.
Bu olay, dijital çağda veri güvenliğinin ne kadar kırılgan olabileceğini ve en temel güvenlik önlemlerinin bile ne kadar hayati önem taşıdığını bir kez daha hatırlatıyor. '123456' gibi bir parolanın, milyonlarca insanın kişisel verilerini barındıran bir sisteme erişim anahtarı olabilmesi, hem bireysel hem de kurumsal düzeyde acil bir güvenlik farkındalığı gerektiriyor. Danimarka makamlarının bu olayın tüm boyutlarını aydınlatmak ve benzer zafiyetlerin önüne geçmek için atacağı adımlar yakından takip edilecektir.
