In questo articolo Indice dei contenuti 2 sezioni
La password 123456 continua a essere la combinazione più utilizzata in assoluto e stavolta non ha messo nei guai soltanto qualche utente distratto ma un intero registro nazionale. È successo in Danimarca, dove bastava digitare le prime sei cifre della tastiera per entrare in diversi account di amministrazione del sistema che custodisce i dati anagrafici dei residenti. Una falla che fa impressione proprio per la sua semplicità.
Che 123456 sia da sempre in cima alle classifiche delle chiavi d’accesso più diffuse non è certo una novità. Tutto lascia pensare che la situazione resterà più o meno invariata ancora per parecchio tempo, almeno fino a quando le passkey non saranno diventate uno standard adottato su larga scala. Fra le tante cattive abitudini legate alla cybersecurity questa è probabilmente la peggiore, oltre che una delle più dure da sradicare. Un conto però è quando a pagare il prezzo della superficialità è un singolo utente poco attento. Tutt’altra faccenda è quando la stessa leggerezza riguarda un database di livello statale, perché in quel caso le conseguenze rischiano di ricadere su un Paese intero.
Cosa è successo al registro centrale dei residenti
Al centro della vicenda c’è il Det Centrale Personregister, cioè il registro centrale dei residenti danesi, una sorta di grande anagrafe nazionale. Qualcuno si è accorto che diversi profili amministrativi erano protetti dalla sequenza più banale che si possa immaginare. Nessun attacco particolarmente elaborato quindi e nessuna tecnica degna di un film di spionaggio. Per superare la schermata di login è bastata la stessa combinazione numerica che tantissime persone usano ogni giorno per i propri servizi personali, spesso senza pensarci troppo.
Il punto più delicato riguarda proprio la natura di quegli account. Non si parlava di semplici utenze con permessi limitati ma di accessi di amministrazione, quelli che per definizione aprono le porte a una porzione molto ampia del sistema. Ed è qui che una scelta superficiale come la password 123456 smette di essere una curiosità da classifica e diventa un problema serio.
Una volta entrato, il responsabile dell’accesso racconta di essere riuscito a mettere le mani su un archivio contenente le informazioni anagrafiche di 8,8 milioni di cittadini attuali. Un numero già enorme che però cresce ulteriormente se si allarga lo sguardo. Considerando anche le persone decedute e chi nel frattempo si è trasferito all’estero, il totale dei profili presenti nell’archivio arriva infatti a 11 milioni. In pratica una fotografia quasi completa della popolazione danese, passata e presente, raggiungibile con sei cifre in fila.
La scoperta e la conferma dell’ente governativo
Il data breach è stato individuato il 2 ottobre. Qualche giorno più tardi, il 5 ottobre, è arrivata la conferma ufficiale da parte dell’ente governativo che gestisce l’archivio, che ha riconosciuto l’accaduto e quindi l’esistenza della violazione. Una conferma che chiarisce la portata dell’episodio ma lascia fuori un dettaglio tutt’altro che secondario.
Nella comunicazione diffusa dall’ente non compare infatti alcun riferimento alla negligenza che ha reso possibile l’intrusione, ovvero l’utilizzo della password 123456 a protezione di account dotati di privilegi amministrativi. Il comunicato si è limitato a confermare la violazione del registro centrale danese, senza entrare nel merito della leggerezza che ha consentito di accedere ai dati di milioni di residenti.
Fonte: TecnoAndroid