Facepalm: Het is geen geheim dat de populairste wachtwoorden ter wereld ook de slechtste zijn. Je zou kunnen denken dat ze alleen door minder technisch onderlegden worden gebruikt, maar een hacker beweert het Deense Centraal Personenregister (CPR) te hebben gehackt via een IT-bedrijf waarvan een account het wachtwoord “123456” gebruikte.
Nummerreeksen die met 1 beginnen domineren lijsten van de meest voorkomende wachtwoorden – daar stonden er tien van in de top 20 van vorig jaar. Het populairste daarvan stond bovenaan: “123456”.
De persoon die het CPR heeft gehackt vertelde tegen het regionale medium Politiken dat minstens drie bedrijfsaccounts, waaronder een beheerdersaccount, hetzelfde verschrikkelijke wachtwoord gebruikten.
De CPR-administratie bevestigde onlangs dat er in september een datalek plaatsvond waarbij namen, adressen en identificatienummers van 8,8 miljoen mensen — zowel levenden als overledenen — zijn blootgesteld. Ze bevestigden ook dat de hacker toegang had gekregen tot een privé-Daans bedrijf om daarvan het legitieme toegang te misbruiken.
Hoewel het overheidsorgaan nooit de naam van het getroffen bedrijf noemde, zei Pays ApS-directeur Sophie Laursen op 9 oktober dat de toegang van haar bedrijf was misbruikt.
Pays ApS had zijn geautoriseerde toegang tot CPR-systemen gebruikt om diensten te leveren, zoals het valideren van bedrijfsgegevens van klanten, schrijft The Reg. De website van het bedrijf is sindsdien offline gehaald.
De hacker beweert niet van plan te zijn de gestolen informatie te verkopen of online te lekken, wat — als het waar is — waarschijnlijk een opluchting zal zijn voor Pays ApS.
Volgens documenten die door TV2 zijn ingezien voerde de aanvaller tussen 10 september en 20 september 14 miljoen geautomatiseerde zoekopdrachten in het CPR uit.
Het was een andere overheidsorganisatie die de aanval ontdekte. Een medewerker van het Ministerie van Onderzoek, Onderwijs en Digitalisering merkte een factuur op waaruit bleek dat Pays ApS veel meer zoekopdrachten uitvoerde dan gebruikelijk.
Vorig jaar gebruikten ongeveer 7,6 miljoen accounts ‘123456’ als wachtwoord. Dat is meer dan het dubbele van het aantal dat het op één na populairste wachtwoord gebruikte, ‘12345678’. Je raadt het waarschijnlijk: nummer drie was ‘123456789’.
Dit is niet de eerste keer dat dit populaire wachtwoord wordt gebruikt door een bedrijf dat gevoelige gegevens beheert. Onderzoekers die vorig jaar het McHire-rekruteringsplatform van McDonald’s onderzochten, logden in op een test-beheerdersaccount waarbij zowel de gebruikersnaam als het wachtwoord ‘123456’ was. In combinatie met een ander toegangscontrolelek stelde dat hen in staat persoonsgegevens van sollicitanten op te halen. De aanbieder van het platform, Paradox.ai, verholpen de problemen nadat de onderzoekers ze hadden gemeld.
