弱密碼「123456」疑涉丹麥重大數據泄露 約880萬人資料遭曝光

丹麥中央人口登記系統發生重大數據泄露事件，約880萬名登記人員的相關資料遭未經授權訪問。一名匿名駭客聲稱，自己利用一家小型IT公司的前員工所遺留的泄露密碼進入系統，凸顯弱密碼與第三方訪問權限管理不足所帶來的風險。

丹麥正調查一起重大數據泄露事件。未經授權的人員據稱訪問了該國中央人口登記系統（Central Person Register，簡稱CPR）中約880萬名登記人員的相關個人資料。

據網路安全媒體 Cybernews 報導，一名匿名駭客聲稱，自己利用了一個據稱屬於丹麥小型IT公司 Pays ApS 前員工的泄露密碼，而該密碼據報為「123456」。Pays ApS 原本擁有合法權限，可以訪問相關登記系統。

這起事件凸顯了第三方供應商帳戶遭入侵後可能帶來的嚴重後果。當外部公司能夠訪問集中式數據庫，而相關帳戶又缺乏強健的身份驗證和有效監控時，單一帳戶遭到濫用便可能導致大規模個人資料暴露。

涉事駭客聲稱利用泄露密碼進入系統

Pays ApS 已向丹麥電視台 TV 2 確認，公司原本合法使用的CPR系統訪問權限遭到濫用。公司董事總經理 Sophie Laursen 表示，事件涉及針對公司訪問權限的攻擊。

根據該匿名駭客向丹麥報紙《政治報》（Politiken）提供的說法，入侵始於一名公司前員工的密碼遭到泄露。駭客聲稱，取得相關憑證後，便利用該帳戶訪問CPR系統，並編寫了兩個電腦程序：一個負責提取個人資料，另一個則將資料儲存至登記系統以外的位置。

駭客聲稱，未經授權的訪問從2026年9月10日開始，持續約21天17小時。該人士也向《政治報》表示，無意出售或公開相關資料。

不過，上述細節主要來自駭客的說法，目前並非所有內容都已獲得獨立證實。丹麥有關當局仍在調查事件經過及實際影響範圍。

哪些個人資料受到影響？

CPR是丹麥的中央人口登記數據庫，包含約1100萬名登記人員的資料，包括現居丹麥的人士、已移居海外的人士，以及已故人士。

根據丹麥政府公布的資訊，此次未經授權訪問涉及約880萬名登記人員的姓名、地址及CPR個人識別號碼。已登記姓名及地址保護的人士，則不在此次已報告的資料暴露範圍內。

CPR號碼是用於識別個人身份的唯一編號，廣泛應用於民眾與政府機構及私人組織之間的往來。雖然數據庫訪問受到監管，但部分符合條件的企業仍可基於合法業務需求取得授權，例如核實客戶地址或管理會員資料。

這起事件反映出，即使中央數據庫設有安全機制，如果外部組織的身份驗證、訪問限制和活動監控不足，攻擊者仍可能通過遭入侵的合法連接取得大量敏感資訊。

弱密碼為何可能造成嚴重後果？

「123456」長期被視為極不安全的密碼。如果駭客的說法屬實，這個據稱曾在早前數據泄露事件中曝光的密碼，可能使攻擊者得以濫用原本合法的系統連接。

然而，安全問題並不只在於密碼是否足夠複雜。如果前員工離職後帳戶沒有及時停用、密碼被重複使用，或訪問權限未定期檢視，即使密碼本身沒有明顯弱點，帳戶也可能繼續構成風險。

這起事件也凸顯第三方訪問管理的重要性。即使中央數據庫設有安全控制措施，只要供應商帳戶遭到入侵，攻擊者便可能藉助受信任的連接進入系統。成功訪問後，自動化程序還可能比人工操作更快地提取大量個人資料。

MitID可提供保護，但釣魚詐騙風險仍然存在

丹麥有關當局指出，僅憑CPR號碼並不足以冒充他人使用該國的數字身份驗證系統MitID。該系統還採用額外的身份驗證保護措施。

不過，遭曝光的資料仍可能被犯罪分子用於製作更具迷惑性的釣魚訊息、詐騙電話和短信。當詐騙者能夠提供真實姓名、地址或CPR號碼時，相關訊息可能顯得更加可信，進而誘使受害者透露密碼、一次性驗證碼或財務資料。

有關當局提醒公眾，即使來電者或訊息發送者掌握自己的個人資料，也不應輕易相信對方身份。遇到可疑要求時，應自行通過官方渠道核實，並切勿向未經主動聯繫的來電者或訊息發送者提供密碼及一次性驗證碼。

組織應如何加強敏感資料保護？

這起事件為需要向第三方開放敏感系統的組織提供了幾項重要警示：

• 強化身份驗證： 禁止使用常見或已曝光的密碼，並在適當情況下採用多因素身份驗證。

• 檢視第三方訪問權限： 只向供應商開放完成工作所必需的資料及系統功能。

• 及時停用過期帳戶： 員工離職後應立即停用相關帳戶，並定期審查所有訪問權限。

• 監控異常活動： 通過日誌記錄與自動警報，識別異常查詢、大量資料提取及可疑訪問行為。

• 限制資料提取規模： 設置訪問頻率限制及額外驗證機制，降低單一帳戶被用於大規模收集資料的風險。

• 建立事件應對機制： 制定明確流程，以便及時撤銷訪問權限、調查可疑活動，並向有關當局通報事件。

  
  

丹麥有關當局已撤銷此次事件中遭濫用的訪問權限，並向數據保護監管機構通報，同時與執法部門展開調查。政府也宣布將對CPR系統進行更全面的安全審查。

這起事件提醒業界，國家級數據庫的安全性不僅取決於數據庫本身，也取決於所有與其連接的系統、帳戶及組織。強密碼固然重要，但要有效保護敏感資料，還需要落實最小權限原則、及時停用帳戶、持續監控系統活動，並加強對第三方訪問的管理。

資料來源： Cybernews；丹麥研究、教育與數字化部；The Copenhagen Post

來源：金色財經

發佈者對本文章的內容承擔全部責任
在投資加密貨幣前，請務必深入研究，理解相關風險，並謹慎評估自己的風險承受能力。不要因為短期高回報的誘惑而忽視潛在的重大損失。