25/10/2026 · VietTechies · Biên tập
Một sự cố vi phạm an ninh lớn ảnh hưởng đến Cơ quan Đăng ký Nhân thân Trung ương Đan Mạch (CPR) đã làm lộ thông tin cá nhân của khoảng 8,8 triệu người còn sống và đã qua đời. Các báo cáo cho biết vụ rò rỉ dữ liệu quy mô lớn này xuất phát từ việc quản lý thông tin xác thực vô cùng yếu kém tại một công ty tư nhân bên thứ ba được ủy quyền truy cập cơ sở dữ liệu.
Lỗ hổng bảo mật và quyền truy cập của bên thứ ba
Sự cố an ninh đã làm tổn hại dữ liệu của khoảng 5,5 triệu người còn sống và 3,3 triệu người đã qua đời, tiết lộ các chi tiết nhạy cảm bao gồm họ tên đầy đủ, địa chỉ nhà và số định danh cá nhân. Các cuộc điều tra tiếp theo đã lần ra điểm xâm nhập trái phép đến một công ty tư nhân Đan Mạch có tên Pays ApS, đơn vị sở hữu quyền hợp pháp để tương tác với cơ sở dữ liệu quốc gia nhằm xử lý các tác vụ như xác thực hồ sơ khách hàng doanh nghiệp. Một hacker tự nhận trách nhiệm về vụ việc cho biết quyền truy cập đã đạt được chỉ bằng một chuỗi ký tự cực kỳ cơ bản: "123456". Theo tờ báo Đan Mạch Politiken, lựa chọn yếu kém này không phải là một sơ suất đơn lẻ trong công ty, vì Pays ApS được cho là đã duy trì ít nhất ba hồ sơ người dùng riêng biệt dùng chung một mật khẩu duy nhất, trong đó có một tài khoản sở hữu quyền quản trị.
Giám sát tự động và sự chậm trễ trong phát hiện
Sau lần truy cập trái phép ban đầu vào ngày 10 tháng 9, kẻ tấn công đã thực hiện một lượng lớn các truy vấn cơ sở dữ liệu tự động. Hồ sơ cho thấy có khoảng 14 triệu lượt tìm kiếm tự động trên hệ thống CPR được thực hiện thông qua tài khoản Pays ApS bị xâm nhập trước khi hoạt động này dừng lại vào ngày 20 tháng 9. Bất chấp quy mô khổng lồ của các truy vấn tự động này, vụ xâm nhập vẫn không bị phát hiện trong nhiều tuần. Mãi đến ngày 2 tháng 10, một nhân viên tinh mắt tại Bộ Nghiên cứu, Giáo dục và Số hóa đã phát hiện ra một hóa đơn cao bất thường. Sự chênh lệch tài chính này đã làm nổi bật lượng tìm kiếm tăng vọt bất thường, châm ngòi cho các cuộc rà soát nội bộ cuối cùng đã phơi bày vụ rò rỉ dữ liệu rộng khắp. Mặc dù cá nhân nhận trách nhiệm tuyên bố công khai rằng họ không có ý định làm rò rỉ hay bán các bản ghi thu thập được, sự việc đã vấp phải sự giám sát gay gắt đối với quy trình thẩm định nhà cung cấp của các cơ quan tổ chức.
Phân tích: Cái giá của sự chủ quan trong bảo mật nhà cung cấp
Sự cố này minh họa rõ nét cách các lỗi hệ thống kỹ thuật số thường bắt nguồn từ những sơ suất vệ sinh cơ bản hơn là các cuộc khai thác zero-day tinh vi, tiên tiến. Khi các cơ quan công quyền cấp cho đối tác thương mại bên ngoài quyền truy cập trực tiếp vào các kho lưu trữ quốc gia nhạy cảm, các giao thức xác thực nghiêm ngặt và yêu cầu về độ phức tạp tự động là vô cùng quan trọng. Việc một tài khoản quản trị cấp doanh nghiệp lại được bảo vệ bởi một chuỗi ký tự dễ đoán như "123456" phơi bày khoảng cách nguy hiểm giữa tiêu chuẩn bảo mật lý thuyết mong đợi ở cơ sở hạ tầng công và thói quen thực thi thực tế của các nhà cung cấp tư nhân. Các chuyên gia an ninh mạng đã bày tỏ sự thất vọng sâu sắc khi xác thực đa yếu tố tự động cơ bản hoặc kiểm toán thông tin xác thực đã không chặn đứng được lỗ hổng trước khi vụ vi phạm xảy ra. Đối với các tổ chức điều hướng hệ sinh thái kỹ thuật số phức tạp, sự cố này nhấn mạnh nhu cầu cấp thiết về việc giám sát hành vi liên tục, kiểm soát quản lý danh tính và quyền truy cập nghiêm ngặt, cũng như sự giám sát kỹ lưỡng đối với các nhà thầu bên thứ ba. Việc dựa vào lòng tin ranh giới mà không chủ động xác minh việc thực thi thông tin xác thực khiến lượng lớn dân số dễ bị tổn thương trước việc trích xuất dữ liệu quy mô lớn. Mặc dù kẻ đột nhập hiện tại tuyên bố có thiện chí, sự dễ dàng cực độ trong việc thu thập dữ liệu cho thấy những sơ suất tương tự hoàn toàn có thể bị lợi dụng bởi các tác nhân độc hại tìm kiếm các kết quả phá hoại.
Ảnh bìa: minh họa do AI tạo, kèm chữ tiêu đề; không phải ảnh tư liệu.
Nguồn: '123456' password was all a hacker reportedly needed to expose over 8 million people's personal data · »Oh my god«: Fynsk virksomhed havde mindst tre profiler med adgangskoden '123456'