Una password che sembra uscita dal manuale delle cattive abitudini informatiche e una banca dati contenente milioni di informazioni personali. È questa la combinazione che, secondo le dichiarazioni del responsabile dell’attacco informatico al registro dell’anagrafe nazionale danese, avrebbe permesso di accedere a 8,8 milioni di record.
Il caso coinvolgerebbe Pays ApS, un’azienda specializzata in servizi IT e gestione dei dati, e riaccende i riflettori su un problema tutt’altro che nuovo: la sicurezza informatica e la protezione dei dati sensibili.
Una password da incubo per la sicurezza informatica
Secondo quanto riportato da The Register, il presunto hacker avrebbe sfruttato una vulnerabilità nei sistemi di accesso di Pays ApS, società che consente ai propri clienti di consultare telematicamente l’anagrafe nazionale danese, noto come CPR.
Il dettaglio che ha attirato maggiormente l’attenzione è tanto semplice quanto inquietante: uno degli account compromessi sarebbe stato protetto dalla password «123456». Sì, proprio quella che da anni compare tra gli esempi più celebri di credenziali da non utilizzare mai.
Se la ricostruzione fosse confermata integralmente, non sarebbe servito mettere in campo chissà quali sofisticate abilità informatiche per superare le difese dell’account. Una password estremamente prevedibile potrebbe essere bastata a spalancare una porta su sistemi contenenti dati di milioni di persone.
Al momento, l’imbarazzante fragilità della password non è stata del tutto confermata dalle autorità, anche se secondo il quotidiano danese Politiken, che ha raccolto le dichiarazioni del fantomatico hacker, almeno tre account aziendali di Pays ApS, compreso un account amministrativo, avrebbero utilizzato la stessa password.
L’attacco hacker scoperto grazie a una fattura sospetta
Le autorità danesi hanno comunque confermato la violazione, spiegando che l’attività anomala sarebbe stata individuata soltanto 12 giorni dopo l’attacco. A far scattare l’allarme sarebbe stata una fattura che evidenziava un volume di operazioni insolito da parte dell’azienda coinvolta.
La direttrice generale di Pays ApS, Sophie Laursen, avrebbe confermato l’utilizzo illegittimo dell’accesso della società alla banca dati per sottrarre le informazioni. L’hacker, dal canto suo, avrebbe dichiarato di non avere intenzione di vendere o diffondere i dati acquisiti. Una rassicurazione che, naturalmente, non cancella la gravità dell’incidente né garantisce che le informazioni non possano finire in altre mani.
La sicurezza informatica ai tempi dell’IA
L’episodio riporta al centro del dibattito la necessità di rafforzare le politiche di sicurezza informatica, proprio mentre gli strumenti basati sull’intelligenza artificiale stanno ampliando le possibilità a disposizione degli hacker.
Negli ultimi mesi sono emersi diversi casi di presunti attacchi informatici condotti con l’aiuto di agenti AI, compresi episodi che hanno coinvolto istituti bancari sudcoreani e sistemi governativi taiwanesi. Anche altre notizie hanno evidenziato come strumenti di intelligenza artificiale possano essere sfruttati per facilitare operazioni malevole.
La lezione: non basta proteggere i server
L’attacco hacker all’anagrafe nazionale della Danimarca dimostra quanto sia importante considerare la sicurezza informatica come un sistema composto da più livelli. Password robuste, autenticazione a più fattori, controlli sugli accessi, monitoraggio delle attività anomale e verifiche periodiche delle autorizzazioni sono strumenti essenziali, soprattutto quando un’azienda può consultare registri pubblici o gestire informazioni su larga scala.
Anche i tempi di rilevamento contano: individuare un’intrusione quasi due settimane dopo il suo verificarsi può lasciare agli aggressori una finestra significativa per raccogliere dati e ampliare le proprie attività fraudolente.