Afgelopen vrijdag stelde de administratie vast dat er in september onregelmatigheden hadden plaatsgevonden in het systeem van het Deense bevolkingsregister. Een onbevoegde persoon zou toegang hebben gekregen via een particulier bedrijf en daarmee informatie hebben opgezocht in het systeem. Nader onderzoek wees uit dat onbevoegden op grote schaal persoonsgegevens hadden opgevraagd.
Bevolkingsregister Denemarken werd vorige maand gehackt
Hackers zijn binnengedrongen in het Deense bevolkingsregister en hebben toegang gekregen tot de persoonsgegevens van ongeveer 8,8 miljoen mensen. 'Dit is een uiterst ernstig incident', aldus minister van Digitale Zaken Christina Egelund.
De gestolen gegevens betreffen niet alleen mensen die momenteel in Denemarken wonen, dat zijn er circa 6 miljoen. Ook gegevens van personen die naar het buitenland zijn verhuisd en van overledenen zijn mogelijk ingezien.
Volgens de Deense autoriteiten zijn de hackers niet rechtstreeks binnengedrongen. De aanvallers zouden misbruik hebben gemaakt van de bestaande, rechtmatige toegang van een privaat bedrijf tot het systeem. Die toegang is inmiddels ingetrokken. Er zijn ook maatregelen genomen om soortgelijke incidenten in de toekomst te voorkomen. Het incident is gemeld bij het Deense Agentschap voor Gegevensbescherming.
Momenteel wordt onderzocht hoe het misbruik heeft kunnen plaatsvinden. Ook de politie is een onderzoek gestart. Wie achter de aanval zit en of de gegevens verder zijn verspreid, is nog niet bekend.
Plaats een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.
De echte vraag is HOE KON DIT?? Als je dit soort gegevens centraal opslaat zonder voldoende bescherming, zoals versleuteling, dan zijn ze vanzelfsprekend kwetsbaar voor grootschalige datadiefstal. Centrale opslag creëert een "single point of failure", wat betekent dat een enkele inbreuk toegang kan geven tot alle gegevens. Het lijkt er in elk geval op dat de gegevens hier niet of onvoldoende versleuteld waren. Een doodzonde natuurlijk. Versleuteling is een fundamentele veiligheidsmaatregel die ervoor zorgt dat zelfs als gegevens in verkeerde handen vallen, ze niet leesbaar zijn zonder de juiste decryptiesleutels. Wat ook impliceert dat het ontbroken schijnt te hebben aan strenge toegangscontrole. Hoezo kon een particulier bedrijf toegang hebben tot gevoelige gegevens zonder voldoende toezicht en beperking van WAT ze konden inzien of DOEN met die data. Dat was duidelijk geen Zero Trust aanpak. Ook interessant is hoe lang het geduurd heeft voor ze er überhaupt achter kwamen. Het systeem detecteerde pas in oktober dat er onregelmatigheden waren in september ... dan sta je wide open. Dan heb je GEEN real-time monitoring en real time auditing ingericht en dan heb je geen strakke detectie van verdachte activiteiten. Waaruit maar weer blijkt dat 'my mess for less', het vertrouwen op Externe Partijen de outsourcende partij NOOIT ontslaat van haar verantwoordelijkheid over de volledige datavoortbrengingsketen. Het vertrouwen op een extern bedrijf zonder strikte voorwaarden en toezicht heeft geleid tot misbruik van toegang. Door te investeren in courante kennis, aantoonbare compliance en de juiste technologieën en protocollen, kunnen overheden dit soort incidenten voorkomen en de privacy en veiligheid van haar burgers wel waarborgen.