Κωδικός «123456»: Έτσι παραβίαστηκε εταιρεία πληροφορικής στη Δανία
Η νοοτροπία της χρήσης απλών κωδικών που απομνημονεύονται εύκολα, όπως το «123456», έχει δώσει στους χάκερς τη δυνατότητα να κάνουν τις παραβιάσεις συστήματα εταιρειών «παιχνιδάκι» . Ένα τέτοιο περιστατικό έλαβε χώρα πριν από λίγες μέρες σε μια εταιρεία πληροφορικής στη Δανία.
Πρόκειται για την εταιρεία πληροφορικής Pays , με έδρα τη Φιονία (Funen). Τρεις υπάλληλοι της εταιρείας χρησιμοποιούσαν για την είσοδο στους λογαριασμούς τους τον κωδικό «123456», με αποτέλεσμα ένας χάκερ να αποκτήσει εύκολα πρόσβαση στο μητρώο CPR της Δανίας, σύμφωνα με την εφημερίδα Politiken. Μάλιστα ένας από τους λογαριασμούς ήταν ο λογαριασμός διαχειριστή της εταιρείας.
Η παραβίαση αφορά στοιχεία που συνδέονται με περίπου 8,8 εκατομμύρια αριθμούς CPR.
Τι είναι το CPR
Το CPR είναι η κεντρική βάση δεδομένων του ληξιαρχείου της Δανίας, ένας συνδυασμός των ελληνικών ΑΜΚΑ, ΑΦΜ και στοιχείων του δημοτολογίου που αποτελείται από δέκα ψηφία.
Ο αριθμός αυτός είναι μεγαλύτερος από τον σημερινό πληθυσμό της Δανίας, που είναι περίπου 6 εκατομμύρια, επειδή στο μητρώο περιλαμβάνονται και άτομα που έχουν πεθάνει ή έχουν φύγει από τη χώρα.
Τι περιέχει το μητρώο
- Όνομα, διεύθυνση και ιστορικό διευθύνσεων
- Ημερομηνία και τόπο γέννησης
- Ιθαγένεια
- Οικογενειακή κατάσταση και συγγενικές σχέσεις, όπως γονείς, σύζυγος και παιδιά
- Θάνατο ή μετανάστευση
To «123456» είναι απλά «απελπιστικό»
Ο Γενς Μίρουπ Πέντερσεν, καθηγητής στο Τμήμα Ηλεκτρολόγων Μηχανικών και Μηχανικών Υπολογιστών του Πανεπιστημίου του Ώρχους (Aarhus) , χαρακτήρισε την ασφάλεια των κωδικών της εταιρείας «απελπιστική».
«Ουσιαστικά δεν υπάρχει καμία ασφάλεια, είναι μια ανοιχτή πόρτα. Ένας κωδικός όπως το “123456” είναι από τα πρώτα πράγματα που θα δοκίμαζε κανείς αν έπαιρνε μια λίστα με τους πιο κοινούς κωδικούς», δήλωσε στην Politiken.
Τι δήλωσε η Pays ApS
Η Pays ApS επιβεβαίωσε στο κανάλι TV 2 ότι είναι εκείνη η εταιρεία που παραβιάστηκε.
«Μπορούμε να επιβεβαιώσουμε ότι είμαστε η εταιρεία που δέχθηκε επίθεση, κατά την οποία έγινε κατάχρηση της νόμιμης πρόσβασής μας για αναζήτηση πληροφοριών στο σύστημα CPR», ανέφερε σε email προς το TV 2 η διευθύνουσα σύμβουλος και ιδιοκτήτρια της εταιρείας, Σοφί Λάουρσεν.
Ο χάκερ επικοινώνησε με την Politiken
Την Πέμπτη, ένας ανώνυμος χάκερ δήλωσε στην Politiken ότι βρίσκεται πίσω από την επίθεση και ότι η πρόσβαση δεν ήταν ιδιαίτερα δύσκολη.
Σύμφωνα με τον ίδιο, η αρχική πρόσβαση έγινε με τον κωδικό ενός πρώην υπαλλήλου μιας μικρής δανικής εταιρείας, ο οποίος είχε διαρρεύσει. Στη συνέχεια, όπως υποστηρίζει, δημιούργησε δύο προγράμματα που αντλούσαν πληροφορίες από το σύστημα CPR και τις αποθήκευαν εξωτερικά. Δήλωσε επίσης ότι δεν σκοπεύει να πουλήσει ή να δημοσιοποιήσει τα στοιχεία που έχει συγκεντρώσει.
Συνοψίζοντας, οι χάκερς γενικότερα, εκμεταλλεύονται αυτή τη τάση χρήσης απλών κωδικών, έχοντας δημιουργήσει και ολόκληρα λεξικά με αυτούς τους κωδικούς, ως ένα εργαλείο που το αξιοποιούν για να παραβιάσουν ένα σύστημα προτού προβούν σε πιο περίπλοκες διαδικασίες παραβίασης.
Είναι πασιφανές ότι το 123456 δεν εγγυάται την ασφάλεια των λογαριασμών, των συστημάτων και των δεδομένων που ενέχουν.
Πώς να προστατεύσετε τους λογαριασμούς σας
- Κωδικοί με μήκος: Προτιμήστε τουλάχιστον 12 χαρακτήρες, για παράδειγμα μια φράση από τυχαίες λέξεις, αντί για σύντομους κωδικούς με σύμβολα.
- Τίποτα προβλέψιμο: Αποφύγετε το «123456», τα ονόματα, τις ημερομηνίες γέννησης και τις απλές παραλλαγές, όπως το «Password1».
- Διαφορετικός κωδικός σε κάθε λογαριασμό: Αν διαρρεύσει ένας, οι υπόλοιποι λογαριασμοί σας μένουν ασφαλείς.
- Διαχειριστής κωδικών (password manager): Δημιουργεί και θυμάται για εσάς ισχυρούς κωδικούς, οπότε χρειάζεται να θυμάστε μόνο έναν.
- Επαλήθευση δύο βημάτων (2FA) : Ακόμη κι αν κάποιος μάθει τον κωδικό σας, δεν μπορεί να μπει στον λογαριασμό χωρίς το κινητό σας.