ביום שישי זיהו בדנמרק דפוס מוזר במרשם האוכלוסין הלאומי: מישהו הריץ שם כמות עצומה של חיפושים אוטומטיים, אחד אחרי השני, במטרה לברר אילו מספרי זהות קיימים באמת. ביום שני הודיעה הממשלה הדנית שהחיפושים האלה חשפו שמות, כתובות ומספרי זהות של כ-8.8 מיליון אנשים, ושהמקרה כבר בטיפול המשטרה. אף אחד לא פרץ כאן את המערכת.

מה קרה

החיפושים לא הגיעו מבחוץ אלא מבפנים. לחברה פרטית דנית אחת, ששמה לא פורסם, הייתה הרשאה חוקית לחפש במרשם לצורכי העבודה השוטפת שלה, ומי שהשתלט על הגישה הזאת קיבל בדיוק את מה שהחברה עצמה מקבלת: היכולת לשלוח שאילתה אחרי שאילתה ולראות מה חוזר. רשות הגנת הפרטיות הדנית, שקיבלה דיווח ביום ראשון, תיארה מספר גדול מאוד של חיפושים אוטומטיים שכל מטרתם הייתה לזהות מספרי זהות תקפים. הגישה של החברה נחסמה מאז.

ההיקף גדול מאוכלוסיית דנמרק, שמונה מעט יותר משישה מיליון איש, כי המרשם מחזיק כ-11 מיליון רשומות, כולל מי שעבר להתגורר בחו"ל ומי שנפטר. לפי ההודעה הרשמית החיפושים בוצעו במהלך ספטמבר וזוהו רק בתחילת אוקטובר. השרה הדנית לדיגיטציה, כריסטינה אגלונד, קראה לאירוע "חמור מאוד", הורתה על בדיקת אבטחה רחבה של המערכת, והקו הפתוח של המדינה לענייני אבטחה דיגיטלית יעבוד בימים הקרובים משמונה בבוקר עד חצות. מי עומד מאחורי החיפושים עדיין לא ידוע, ואף גורם רשמי לא תלה אותם בגוף מסוים.

למה זה חשוב לכם

מספר ה-CPR הדני הוא מספר בן עשר ספרות שמתחיל בתאריך הלידה, מוצמד לאדם לכל חייו ומשמש אותו בקופת החולים, בבנק ובכל מפגש עם הרשויות. במילים אחרות, זה מספר תעודת הזהות הדני, ודליפה שלו עובדת כמו דליפה של ת"ז אצלנו: היא לא נותנת לאף אחד להיכנס לחשבון שלכם, אבל היא נותנת לכל מתקשר את הפרטים שגורמים לו להישמע אמיתי. דריי אגהה מחברת האבטחה Huntress אמר שהמקרה מדגים את הסיכון שבמאגרים לאומיים מרוכזים שחברות פרטיות מקבלות אליהם גישה ישירה, כי חשבון אחד שנפרץ אצל ספק אחד עוקף את ההגנות של הארגון כולו. גם ישראל מופיעה ברשימת המדינות שבהן דלף בעבר מרשם אוכלוסין שלם, במקרה שלנו ב-2006.

מה עושים?

התייחסו לכל שיחה, מסרון או מייל שמצטטים את מספר הזהות והכתובת שלכם כאל לא מאומתים. הידיעה הזאת כבר לא מוכיחה שום דבר על מי שמעבר לקו.

אל תמשיכו שיחה שנפתחה ביוזמת הצד השני. נתקו, וחייגו בעצמכם למספר שמופיע באתר הרשמי של הגוף או על גב הכרטיס.

אל תקריאו קוד שהגיע אליכם ב-SMS לאף אחד, גם אם הוא מזדהה כנציג. גוף אמיתי לא יבקש את זה.

בכל שירות שמאפשר זאת, הפעילו אימות דו-שלבי או passkey, כדי שפרט מזהה שדלף לא יספיק לאף אחד כדי להיכנס.

מספר זהות הוא שם, לא סיסמה. ההבדל הזה הוא כל מה שמפריד בין דליפה לנזק.