Mật khẩu yếu '123456' dẫn đến rò rỉ 8,8 triệu hồ sơ định danh tại Đan Mạch

• Sự cố rò rỉ: Khoảng 8,8 triệu hồ sơ định danh cá nhân (CPR) tại Đan Mạch đã bị truy cập trái phép thông qua tài khoản quản trị sử dụng mật khẩu yếu '123456'.
• Cơ chế tấn công: Kẻ tấn công lợi dụng quyền truy cập hợp pháp của một công ty đối tác (Pays ApS) vào hệ thống CPR để trích xuất dữ liệu thay vì tấn công trực tiếp vào hạ tầng cốt lõi.
• Thời gian tồn tại: Cuộc xâm nhập kéo dài hơn 21 ngày, đặt ra câu hỏi lớn về năng lực giám sát và phát hiện các hành vi truy vấn bất thường trong hệ thống.
• Bài học kinh nghiệm: Việc quản lý quyền truy cập của bên thứ ba và áp dụng xác thực đa yếu tố (MFA) là yêu cầu bắt buộc để ngăn chặn các cuộc tấn công dựa trên thông tin xác thực bị lộ.

Phân tích chi tiết sự cố rò rỉ dữ liệu CPR tại Đan Mạch

Một vụ rò rỉ dữ liệu quy mô lớn tại Đan Mạch gần đây đã làm dấy lên hồi chuông cảnh báo về an ninh mạng trong các hệ thống kết nối với cơ sở dữ liệu quốc gia. Theo các báo cáo từ giới truyền thông và các nhà nghiên cứu bảo mật, khoảng 8,8 triệu hồ sơ định danh cá nhân (Central Person Register - CPR) đã bị truy cập trái phép. Nguyên nhân gốc rễ được xác định xuất phát từ việc sử dụng mật khẩu quản trị yếu '123456' tại Pays, một công ty công nghệ thông tin có trụ sở tại đảo Funen.

Sự cố này không chỉ là một bài học về vệ sinh mật khẩu (password hygiene) mà còn là minh chứng cho rủi ro tiềm ẩn khi các tổ chức bên thứ ba được cấp quyền truy cập vào các hệ thống dữ liệu nhạy cảm của chính phủ. Kẻ tấn công đã không cần phải thực hiện các kỹ thuật khai thác lỗ hổng phức tạp (Zero-day) mà thay vào đó, chúng tận dụng chính các đặc quyền hợp pháp đã được cấp cho đối tác.

Cơ chế khai thác và chuỗi tấn công

Theo các thông tin điều tra, kẻ tấn công đã sử dụng thông tin xác thực bị lộ của một cựu nhân viên tại Pays để xâm nhập vào hệ thống. Sau khi chiếm quyền điều khiển tài khoản quản trị, đối tượng đã phát triển hai chương trình tùy chỉnh nhằm tự động hóa quá trình truy vấn và trích xuất dữ liệu từ hệ thống CPR. Dưới đây là bảng tóm tắt các yếu tố kỹ thuật chính của cuộc tấn công:

Việc kẻ tấn công duy trì quyền truy cập trong hơn 21 ngày mà không bị phát hiện cho thấy sự thiếu hụt nghiêm trọng trong các cơ chế giám sát hành vi (Behavioral Monitoring) và phân tích nhật ký (Log Analysis) tại đơn vị bị xâm nhập. Các hệ thống SIEM (Security Information and Event Management) lẽ ra phải kích hoạt cảnh báo khi phát hiện lưu lượng truy vấn bất thường hoặc các lệnh trích xuất dữ liệu hàng loạt (bulk data export).

Khuyến nghị phòng thủ và Hardening hệ thống

Để ngăn chặn các kịch bản tương tự, các tổ chức cần thực hiện nghiêm ngặt các biện pháp bảo mật theo tiêu chuẩn Zero Trust. Việc tin tưởng tuyệt đối vào các đối tác bên thứ ba mà không có cơ chế kiểm soát chặt chẽ là một sai lầm chiến lược. Dưới đây là các bước hardening cần thiết:

• Triển khai MFA: Bắt buộc áp dụng xác thực đa yếu tố (Multi-Factor Authentication) cho tất cả các tài khoản có quyền truy cập vào hệ thống dữ liệu nhạy cảm.
• Quản lý vòng đời tài khoản: Thiết lập quy trình vô hiệu hóa tài khoản ngay lập tức khi nhân viên nghỉ việc hoặc thay đổi vị trí công tác.
• Giám sát hành vi (Threat Hunting): Thiết lập các quy tắc phát hiện (Detection Rules) dựa trên lưu lượng truy vấn. Ví dụ, sử dụng các truy vấn KQL (Kusto Query Language) để phát hiện các tài khoản thực hiện số lượng truy vấn vượt ngưỡng bình thường.
• Đánh giá định kỳ: Thực hiện rà soát quyền truy cập của bên thứ ba theo định kỳ, thay vì coi đây là một đặc quyền vĩnh viễn.

⚠️ Cảnh báo quan trọng: Việc sử dụng các mật khẩu phổ biến như '123456' trong môi trường doanh nghiệp là một rủi ro an ninh nghiêm trọng. Các quản trị viên hệ thống cần triển khai chính sách mật khẩu mạnh (Password Policy) và sử dụng các công cụ quản lý mật khẩu tập trung để loại bỏ hoàn toàn các mật khẩu yếu khỏi hệ thống.

Sự cố này một lần nữa khẳng định rằng, trong kỷ nguyên số, an ninh mạng không chỉ nằm ở việc vá các lỗ hổng phần mềm mà còn nằm ở việc quản trị con người và quy trình. Các tổ chức cần chủ động hơn trong việc săn tìm các mối đe dọa (Threat Hunting) và không bao giờ được phép chủ quan với các quyền truy cập đã được cấp phép.