推文

@hkepcmedia · 2026-10-15 20:32

【WTF 😱】「痴 X 線公司啊 !!」丹麥近日爆發嚴重的國家級個人資料外洩事故，起因竟源於低級的網絡保安疏忽。當地一家獲政府授權查詢官方戶籍系統的 IT 服務商，因內部多組帳號（包含管理員權限）長期使用弱密碼「123456」，遭黑客趁虛而入，潛伏系統長達近 22 天，非法下載並搜集了約 880 萬筆丹麥中央身份登記（CPR）系統資料，涵蓋約 550 萬名在世公民與 330 萬名已故人士的私隱資訊。 根據丹麥媒體《Politiken》調查報道，黑客早前向該報展示了所竊得的資料，並透露其透過外洩的離職員工憑證與一組「123456」弱密碼，便輕易解除系統權限限制，取得 CPR 編號及地址資訊。涉及外洩的關鍵企業為位於丹麥菲英島歐登塞（Odense）的 IT 服務商「Pays ApS」。調查顯示，該公司內部至少有 3 組帳號設定了「123456」作為密碼，其中更包括具備高權限的管理員帳號。 值得注意的是，本次黑客並非直接攻破丹麥中央政府的資料庫底層核心，而是藉由取得合法第三方的查詢授權通道，達到大量搜集資料的目的。在丹麥法規下，具備正當業務需求（如驗證客戶或會員住址）的私營企業與機構，均可申請 CPR 系統的連線查詢授權。黑客正是利用 Pays 擁有的合法存取權限，撰寫了兩組自動化抓取程式，將大量人口紀錄匯出並儲存至外部伺服器。 報道指出，黑客的非法存取行為始於 9 月 10 日，整個入侵過程持續了 21 天又 17 小時之久。《Politiken》最終統計遭存取的個人檔案總數達 8,749,975 筆，約佔丹麥現有及歷來登記人口的絕大多數。Pays ApS 董事總經理兼負責人 Sophie Laursen 已向丹麥電視二台（TV 2）證實，該公司獲准查詢 CPR 系統的合法權限確實遭到黑客濫用。 長達近 22 天的大規模批次下載未被即時察覺，暴露出系統對於第三方存取監控的嚴重漏洞。事件反映出針對異常搜尋頻率、大量數據匯出等行為，相關機構缺乏即時警報與異常活動偵測機制，未能於資料大舉外洩前阻斷連線。 儘管黑客向媒體宣稱無意販售或公開上述個人資料，目前也尚未有證據顯示外洩資訊已被用於詐騙或洗黑錢等犯罪，但大量未經授權的個人敏感身份資料外流，已構成不可逆的私隱安全威脅。

曝光 298 · 评论 0 · 点赞 4 · 书签 0 · 曝光/时 392.58331816741315