Aproximativ zece zile de interogări automate prin accesul legal la CPR al unei singure firme private. Controalele nu au oprit activitatea la timp. Firma încă nu are nume public.
CPR confirmă că persoane neautorizate au obținut nume, adrese, numere CPR și alte informații despre aproximativ 8,8 milioane de persoane înregistrate prin accesul legal al unei singure firme private. Notificarea Datatilsynet confirmă interogări automate masive folosite pentru identificarea numerelor CPR valide. Ministrul spune că securitatea din jurul acelui acces nu a fost suficient de bună. Niciuna dintre aceste declarații nu pune datele copiate înapoi sub control și nu spune ce control a cedat.
CPR-ul meu este în aceeași infrastructură națională de identitate. Îmi câștig traiul în afara IT-ului, îmi plătesc singur uneltele și fac investigația independent. Nu am minister, birou de presă sau buget de consultanță în spate. Am documentele lor, timestampurile lor, regulile lor și probele pe care le pot păstra.
CPR confirmă expunerea datelor. Notificarea autorității de supraveghere confirmă enumerarea automată masivă. Ministrul confirmă că securitatea din jurul accesului nu a fost suficient de bună. Ce lipsește este dosarul operațional: produs, traseul credentialului, curba de requesturi, baseline, prima anomalie, prima alertă și controlul care trebuia să oprească totul.
CPR spune că persoane neautorizate au obținut acces la nume, adrese, numere CPR și alte date privind aproximativ 8,8 milioane de persoane înregistrate. Registrul include și persoane decedate sau mutate în străinătate.
Ministrul a declarat pentru Ritzau că abuzul a continuat aproximativ zece zile în septembrie. CPR spune că administrația a observat comportamentul neregulat în seara de 2 octombrie.
Calea de acces a fost dreptul legal al unei firme private daneze de a căuta în CPR. Autoritățile nu au identificat public firma și nici produsul CPR folosit.
Datatilsynet spune că notificarea descrie un număr foarte mare de interogări automate către CPR cu scopul de a identifica numere CPR valide.
Christina Egelund a spus că măsurile de securitate din jurul acestui tip de acces nu au fost suficient de solide și că alertele trebuiau să apară mai devreme.
CPR a publicat incidentul pe 5 octombrie. Datatilsynet spune că a primit notificarea breșei duminică, 4 octombrie.
Activitatea automată neautorizată are loc aproximativ zece zile, conform declarației ministrului pentru Ritzau.
Un angajat al administrației CPR observă activitate neregulată seara.
În weekend se conturează clar că este vorba despre un incident de securitate.
Datatilsynet primește notificarea breșei din partea CPR.
Incidentul este anunțat public. Poliția investighează, iar o revizuire de securitate este în curs.
CPR publică faptul că accesul firmelor private la CPR a fost restabilit.
Propriile condiții CPR descriu loguri, statistici de tranzacții, responsabilitate de securitate nominală și verificări recurente pentru căile private de acces. Exact de asta contează acum: descriu înregistrări care ar trebui să poată reconstrui incidentul. Produsul folosit în breșă încă nu este public, deci produsul trebuie numit înainte ca urma exactă de audit să poată fi judecată.
Pentru accesul privat prin Datafordeler, condițiile CPR spun că sunt înregistrate utilizatorul sau certificatul clientului, tipul tranzacției, data și ora, precum și datele vizate de căutare. Utilizatorii de securitate desemnați pot genera rapoarte pentru căutări selectate sau pentru toate căutările și pot vedea statistici de tranzacții.
Export Logpoint cu utilizator sau certificat, tip de tranzacție, dată și oră, datele vizate, plus rapoarte pentru căutări selectate sau toate căutările și statisticile de tranzacții.
Dacă ruta a fost Datafordeler, publicați urma Logpoint din perioada incidentului, istoricul alertelor și înregistrarea controlului de securitate.
Pentru livrările private system-to-system din afara Datafordeler, clientul trebuie să desemneze un responsabil de securitate, să producă lunar statistici pe tipuri de tranzacții și să le verifice prin acel responsabil. Aceleași condiții spun că accesul system-to-system nu poate fi folosit pentru batch-uri online fără aprobarea prealabilă a CPR.
Statisticile din septembrie pe tipuri de tranzacții, verificarea responsabilului de securitate, atribuirea angajaților în sistemul clientului și orice aprobare CPR pentru batch online.
Dacă a fost folosită o altă rută system-to-system, publicați statisticile lunare și maparea utilizatorilor pe care clientul trebuia să o păstreze.
Condițiile CPRWeb pentru privați spun că fiecare interogare este logată cu ID-ul utilizatorului, data și ora, precum și datele la care se referă interogarea. Responsabilul de securitate trebuie să verifice lunar statisticile fiecărui utilizator și poate cere traficul detaliat pentru o perioadă definită.
ID utilizator per interogare, timestamp, ținta interogării, statistici lunare per utilizator și traficul detaliat pentru utilizatorii și perioada relevante.
Dacă ruta a fost CPRWeb, publicați raportul de interogări folosit pentru analiza abuzului suspectat și statisticile utilizatorilor din septembrie.
Pagina CPR de aplicare cere CVR-ul solicitantului, operatorul de date, un responsabil de securitate nominalizat cu date de contact, un contact de facturare și produsele CPR solicitate. Firma poate fi nenominalizată public, dar modelul de acces pornește de la un client identificat și persoane responsabile identificate.
Cererea clientului, CVR, scopul aprobat, produsul solicitat, responsabilul de securitate nominalizat și contactele responsabile.
Publicul încă nu are numele firmei, numele produsului sau contactul de securitate responsabil pentru calea de acces aflată în centrul incidentului.
Tarifele publice pentru privați contorizează căutările CPRWeb, interogările CPR Direkte, tranzacțiile CPR Services și utilizarea Datafordeler. REST numără inclusiv tranzacțiile care întorc zero persoane. GraphQL este tarifat după obiectele persoană returnate. Aceste contoare trebuie confruntate cu telemetria incidentului.
Contoare de utilizare și facturare pentru căutări, lookup-uri, tranzacții REST sau obiecte persoană returnate prin GraphQL, în funcție de produs.
Publicați baseline-ul clientului, curba de utilizare din septembrie și punctul în care volumul s-a desprins de comportamentul normal.
Dacă ruta a fost Datafordeler, trebuie publicate logurile relevante și statisticile de tranzacții. Dacă a fost CPRWeb, trebuie publicate logul interogărilor și statisticile pe utilizator. Dacă a fost alt produs system-to-system, trebuie publicate statisticile lunare, system user-ul și atribuirea utilizatorilor din sistemul clientului. Identitatea produsului stabilește ce urmă de control ar trebui să existe.
Identitatea produsului, semantica tranzacțiilor, limitele, aprobările, istoricul IP sau certificat și calea exactă de control aplicabilă în timpul incidentului.
Fără produs, orice concluzie despre controlul care a cedat rămâne incompletă. Numiți ruta, apoi arătați urma ei.
Publicul încă nu are numărul exact de requesturi, vârful, baseline-ul normal și produsul CPR exact folosit. Fără cifrele astea nu putem verifica momentul în care activitatea a ieșit din comportamentul normal al clientului și cât a durat până a reacționat lanțul de detecție.
În funcție de produs și interogare, un request poate întoarce zero, una sau mai multe persoane. Încercările nereușite de enumerare ar crește numărul real de requesturi. Firma și produsul trebuie făcute publice înainte ca rata exactă să poată fi calculată din date publice.
CPR documentează mai multe căi private de acces. Unele sunt manuale, unele program-la-program, unele susțin fluxuri recurente sau populații mari. Produsul stabilește ce credentiale, loguri, aprobări, contoare și obligații de control se aplicau în timpul incidentului.
Căutări web pentru companii private. CPR descrie căutări pe baza datelor de identificare și returnarea numelui curent, adresei și a altor date permise.
Comunicare program-la-program între sistemul clientului și CPR. Clientul trimite o tranzacție cu date de identificare și primește înapoi date CPR relevante.
Integrare de servicii pentru sistemele clienților prin requesturi structurate către serviciile CPR.
Date CPR despre persoane expuse prin serviciile Datafordeler. CPR listează REST și GraphQL pentru clienții privați. Prețurile sunt legate de tranzacții sau de obiectele persoană returnate.
Extragerile de status și modificări pot livra fișiere plate, inclusiv actualizări recurente pentru populații definite.
Nume, adrese, numere CPR și alte informații au fost obținute de persoane neautorizate. Accesul poate fi închis. Copiile deja obținute nu pot fi trase înapoi prin dezactivarea contului. Riscul continuă după containment și poate dura mult după incident.
Ministerul le spune cetățenilor să nu ofere parole sau informații confidențiale doar fiindcă un apel, email sau mesaj pare să cunoască aceste date de identitate. Aceleași date pot face tentativele de phishing, impersonare și inginerie socială mai credibile mult timp după dezactivarea unei căi de acces.
CPR a publicat un anunț potrivit căruia accesul firmelor private la CPR fusese restabilit la 11:57. Materialul public verificat pentru această captură nu identifică modificările concrete de monitorizare, limitare, suspendare automată sau control al accesului finalizate înainte de restabilire. Publicați modificările și orele la care au intrat în vigoare.
Mai târziu pe 5 octombrie, după informarea unor comisii parlamentare, Christina Egelund a spus că este prea devreme pentru a spune dacă unii cetățeni ar putea avea nevoie de numere CPR noi după breșă. Nu a fost anunțată o decizie de înlocuire. Simplul fapt că posibilitatea este evaluată arată gravitatea remedierii care încă se analizează.
Municipalitatea Herning spune că, pentru moment, numărul CPR nu trebuie folosit ca unic temei pentru identificarea unui cetățean și a înăsprit verificările de identitate. Aceasta este o consecință concretă a breșei, nu un risc teoretic.
O rută poate fi dezactivată în câteva minute. O copie a datelor de identitate deja obținută nu devine secretă din nou prin apăsarea unui buton. Urmările pot însemna verificări de identitate mai grele, timp pierdut ca să demonstrezi cine ești, raportarea tentativelor de fraudă, discuții cu bănci sau autorități și ani de atenție la impersonări credibile. Dosarul public verificat aici nu spune cine suportă timpul și costul când povara cade pe oamenii ale căror date au fost luate.
Paginile oficiale dau cifra agregată și o excepție de protecție. Încă nu îi dau unei persoane un răspuns specific incidentului: a fost interogată înregistrarea mea, ce câmpuri au fost întoarse, când s-a întâmplat și prin ce produs?
Cifra de 8,8 milioane include persoane în viață, persoane mutate în străinătate și persoane decedate. CPR spune că numele și adresele persoanelor cu protecție de nume și adresă au fost excluse din accesul neautorizat.
Pentru un individ, întrebările de bază rămân: a fost interogată înregistrarea mea, ce câmpuri au fost returnate, când s-a întâmplat, prin ce produs și de câte ori?
În funcție de produs, condițiile CPR descriu loguri per interogare, înregistrări Logpoint, statistici lunare de tranzacții și atribuirea utilizatorilor. Produsul încă nepublicat stabilește ce urmă poate lega incidentul de persoane și requesturi concrete.
CPR este operat prin administrația CPR. Datatilsynet este autoritatea independentă de supraveghere. Comunicatul din 5 octombrie spune că dosarul este investigat și că răspunderea nu a fost încă stabilită. Asta este începutul, nu finalul răspunderii. Dosarul public verificat aici încă nu spune ce controale anterioare de supraveghere au testat accesul firmelor private la CPR, interogările automate de volum mare sau mecanismele care trebuiau să detecteze abuzul.
Propria descriere Datatilsynet spune că supraveghează respectarea regulilor de protecție a datelor, tratează plângeri și face controale la autorități și firme. Calea breșei ține de CPR și de accesul privat folosit. Istoricul supravegherii este un dosar separat de răspundere care trebuie și el publicat.
Publicați ce inspecții, audituri sau acțiuni de supraveghere anterioare au acoperit accesul firmelor private la CPR, interogările automate în volum mare, detectarea anomaliilor, revizuirea accesului și urmele de audit descrise chiar în condițiile CPR. Dacă nimic din astea nu a fost verificat, spuneți asta direct.
Datatilsynet spune că verifică ce s-a întâmplat, cum a fost posibil și cine poartă răspunderea. Rezultatul trebuie să identifice rolurile responsabile, controalele care au cedat, eventualele ordine sau sancțiuni și remedierea care poate fi verificată efectiv.
Chiar ghidul Datatilsynet cere ca riscul unei breșe să includă folosirea abuzivă viitoare după ce datele ies din controlul operatorului. Deciziile anterioare recunosc că numerele personale combinate cu alte informații pot crea risc ridicat. Același standard se aplică aici. Sfaturile date oamenilor nu răspund la notificare, maparea persoanelor afectate, remediere sau răspundere.
CPR spune că a observat comportamentul neregulat pe 2 octombrie. Datatilsynet spune că a primit notificarea pe 4 octombrie. Datele publice disponibile nu susțin o acuzație că termenul de 72 de ore pentru notificarea autorității a fost depășit.
Când o breșă este probabil să producă risc ridicat, GDPR cere informarea persoanelor afectate fără întârziere nejustificată, sub rezerva excepțiilor din articolul 34. În anumite situații, un anunț public poate înlocui comunicarea individuală dacă aceasta ar necesita un efort disproporționat, dar informarea trebuie să fie la fel de eficientă.
Paginile oficiale ale incidentului citate aici oferă în continuare o cifră agregată, nu o verificare specifică incidentului pentru fiecare persoană. Întrebarea este operațională: pot logurile incidentului lega o persoană de interogările și câmpurile returnate și când vor primi oamenii afectați acel răspuns?
CPR spune că accesul neautorizat nu a inclus numele și adresele persoanelor cu protecție de nume și adresă. Comunicatul nu spune clar dacă numerele CPR ale acelui grup protejat au fost accesate. Punctul trebuie clarificat explicit.
Revocarea rutei unei firme oprește folosirea ulterioară a acelei rute. Nu recuperează copiile deja obținute și nu identifică toate copiile ulterioare. Chiar ghidul Datatilsynet recunoaște că abuzul poate apărea la ani după ce datele ies din controlul operatorului.
Modelul de acces CPR pornește de la un client identificat, CVR, produs solicitat și responsabilitate de securitate nominală. Firma aflată în centrul incidentului rămâne nenominalizată public cât timp investigația continuă. Oamenii ale căror date au fost obținute rămân fără un fapt elementar de răspundere.
Firmă privată daneză. Acces legal de căutare în CPR. Accesul a fost abuzat de persoane neautorizate. Accesul firmei a fost oprit.
Numele firmei. Produsul CPR. Tipul de credential. Mecanismul compromiterii. Numărul exact de requesturi. Rata maximă. Baseline-ul normal. Pragurile de alertă. Primul timestamp anormal. Harta completă a persoanelor afectate. Destinația datelor după extragere.
Oamenilor li se poate spune să fie atenți la fraudă, dar asta nu explică de ce accesul a mers zile întregi, ce produs a fost folosit, ce a văzut monitorizarea, cine a fost afectat sau ce s-a schimbat înainte de restabilirea accesului. Răspunsurile ar trebui să existe în loguri, contracte, configurație, tichete de incident și evaluări formale de risc.
Pachetul public este intenționat îngust: dosarul oficial al incidentului, matricea controalelor, constatările scrise și hashurile. Am scos din pachetul public matricele operaționale de hardening, inventarul căilor de eroare, detaliile de workflow preprod/parolă și indexul complet al crawlului, fiindcă nu sunt dovedite ca traseu al breșei și adaugă detalii utile unui atacator fără să întărească răspunderea publică.
Faptele incidentului sunt ancorate în CPR, minister, Datatilsynet, declarația ministrului relatată public, propriile condiții de acces CPR și răspunsurile operaționale documentate. Folosesc autoritatea de supraveghere ca sursă acolo unde are probe și separat întreb ce supraveghere a existat înainte de breșă și ce măsuri urmează acum.
Trăiesc în Danemarca, iar propriul meu CPR este în același sistem național de identitate. Îmi câștig traiul în afara IT-ului, îmi finanțez singur uneltele și fac investigația independent. Fără personal de minister. Fără birou de presă. Fără buget de consultanță. Funcția, biroul sau diploma nu transformă un control care a cedat într-un control care a funcționat. Arătați înregistrarea.
M-am oprit la material public și neautentificat. Nu am testat căi live de identitate, nu am trimis formulare, nu am enumerat numere CPR, nu am ocolit controale de acces și nu am atins date private. Observațiile de securitate operațională care nu dovedesc traseul breșei rămân în afara downloadului public. Un caz dur devine mai puternic când scoți detaliul de atac irelevant, nu mai slab.
Firma. Produsul. Credentialul. Numărul exact de requesturi. Vârful. Baseline-ul normal. Prima anomalie. Prima alertă. Atribuirea utilizatorului. Harta persoanelor afectate. Schimbările de control înainte de 11:57. Supravegherea anterioară. Răspunderea finală. Sunt înregistrări, nu sloganuri.
DATELE AU FOST OBȚINUTE. PUBLICUL ÎNCĂ MERITĂ DOSARUL TEHNIC COMPLET.