Naruszenie danych CPR w Danii

Chyba musimy przyzwyczaić się do takich wiadomości. Dania potwierdziła poważny incydent związany z Centralnym Rejestrem Osób (CPR). Nieuprawnione podmioty uzyskały dostęp do nazwisk, adresów, numerów CPR oraz innych danych dotyczących około 8,8 miliona zarejestrowanych osób. Liczba ta jest imponująca. Dania liczy obecnie około 6 milionów mieszkańców, ale w rejestrze CPR znajduje się około 11 milionów historycznych wpisów, w tym osoby, które wyemigrowały, oraz osoby zmarłe.

Foto: rawpixel.com na Magnific

Dla mnie najciekawszym aspektem jest ścieżka ataku. Wygląda na to, że atakujący nie przejęli bezpośrednio kontroli nad infrastrukturą duńskiego rejestru CPR. Zamiast tego wykorzystali legalny dostęp duńskiej firmy do wysyłania zapytań do rejestru. Niektóre prywatne organizacje mają prawo dostępu do danych z rejestru CPR w celu weryfikacji tożsamości.

Jest to klasyczny przykład problemu związanego z ryzykiem stron trzecich. Nawet jeśli centralny system jest chroniony doskonałymi zabezpieczeniami, to jeśli organizacje zewnętrzne mogą legalnie wyszukiwać poufne dane, efektywna granica bezpieczeństwa znacznie się rozszerza.

Władze duńskie podają, że zdarzenie miało miejsce we wrześniu, a zostało wykryte 2 października. Dostęp tej firmy został zablokowany, incydent zgłoszono do Duńskiej Agencji Ochrony Danych, a sprawa jest nadal przedmiotem dochodzenia. Organ regulacyjny szczegółowo bada przebieg zdarzenia oraz kwestię odpowiedzialności za przetwarzanie danych w tym przypadku.

Moim zdaniem ta sprawa ilustruje szerszy kontekst. Czasami dostawca ma już dokładnie taki dostęp, jakiego potrzebuje atakujący. To sprawia, że środki kontroli, takie jak zasada minimalnych uprawnień, limity zapytań, analiza behawioralna, wykrywanie anomalii i ciągłe monitorowanie, mają absolutnie fundamentalne znaczenie.

Co najważniejsze: organizacje prowadzące rejestry o znaczeniu krytycznym powinny założyć, że w pewnym momencie jeden z ich zaufanych partnerów zostanie naruszony. Wówczas architektura i system monitorowania powinny ograniczyć zasięg skutków ataku.

Od razu pomyślałem też o Polsce. Nie znam wystarczająco dobrze architektury polskich rejestrów publicznych ani nie wiem dokładnie, które organizacje mają dostęp do jakich danych, aby dokonać bezpośredniego porównania. Jednak z teoretycznego punktu widzenia to samo ryzyko istnieje wszędzie tam, gdzie zewnętrzne organizacje otrzymują zaufany dostęp do scentralizowanych informacji publicznych.

Zastanawiam się, czy wykrylibyśmy podobny incydent wystarczająco szybko i czy jedna zaatakowana zaufana strona mogłaby uzyskać dostęp do danych na porównywalną skalę. Ten przykład pokazuje, że cyberbezpieczeństwo nie kończy się na granicach organizacji.

Autor: Sebastian Burgemejster