弱密碼釀災，管理員帳號共用「123456」

丹麥政府外包商 Pays ApS 近期成為資安漏洞的關鍵角色。一名自稱犯案的駭客向丹麥媒體 Politiken 透露，他僅憑「123456」這組極度簡單的密碼，就成功登入該IT公司的帳號。更令人震驚的是，Politiken 報導指出，該公司至少有3個帳號共用這組密碼，其中甚至包含一個擁有高權限的管理員帳號。這種基礎的資安疏忽，直接導致丹麥中央人口登記局（CPR）的系統門戶大開，讓攻擊者得以濫用存取權限，竊取大量公民資料。

880萬筆資料外洩，1,400萬次搜尋暴露行蹤

此次事故影響範圍廣達約880萬名丹麥公民，資料內容涵蓋姓名、居住地址以及身分證號。具體而言，外洩資訊包含550萬在世丹麥人的社會安全號碼和地址，以及330萬已故丹麥人的地址。駭客在9月10日至9月20日之間，執行了高達1,400萬次的自動搜尋。然而，異常活動直到將近兩個週後的10月2日，才因 Pays 發出異常活動的支付證明而被偵測到。儘管資料量龐大，這名駭客表示目前不打算出售這批資料。

支付服務商淪為資安破口

Pays ApS 的本業是為店家、銀行及資料處理者提供支付和匯款服務，並為 CPR 提供驗證企業客戶紀錄的服務，因此具備登入系統的授權。雖然丹麥政府當局並未立即公告具體使用的IT服務商，但 Pays ApS 已於10月9日向電視媒體 TV2 證實遭駭。這起事件提醒企業，即便是非核心業務的外包服務商，若缺乏嚴格的密碼管理與監控機制，仍可能成為整個國家級資料庫的安全破口。