デンマークの880万人分流出、原因はパスワード「123456」 ハッカー「侵入は難しくなかった」 現地報道

デンマークの中央個人登録簿「CPR」から約880万人分の個人情報が流出した問題で、侵入の足掛かりが判明した。現地紙Politikenに手口を明かした攻撃者を名乗る人物によれば、照会権限を持つ民間企業のパスワードが「123456」だったという。流出元となった企業は、顧客に代わって登録情報を照会するサービスを手掛ける小規模なIT企業で、管理者用を含む複数のアカウントが同じパスワードを使っていた。不正な照会は9月10日ごろに始まり、計約1400万回に上ったとされる。発覚のきっかけは、同社の従業員が不審な請求書に気づいたことだった。

この事件で最も引っかかるのは、880万人という規模の国家的な情報基盤が、末端の小さな委託先の弱い一点から崩れたことだ。大きな金庫の扉が立派でも、合鍵を持つ小さな業者の鍵が「123456」では意味がない。防御の強さは、一番弱い取引先のレベルで決まるという構造が、これほど分かりやすく現れた例は珍しい。ハッカーが「特に難しくはなかった」と語った点も重い。高度な技術ではなく、基本の徹底ができていなかったことが大量流出につながっている。国の仕組みを支えるのは、実は地味なパスワード管理なのだと突きつけられる事件である。

中小企業の実務にとっても、これは他人事ではない。取引先や委託先が持つ自社データへのアクセス権を一覧にし、共有アカウントや初期設定のままのパスワードがないかを今週中に確認する。請求書の不審な変化に気づく仕組みを社内に作っておくことも、被害を早く止める一助になる。