世界で最も推測されやすいパスワードの1つが、デンマークで約880万人の個人情報に関わるデータ侵害の一因になった可能性がある。
デンマークの中央人口登録簿（CPR）への侵入について責任を主張する人物は、デンマーク紙Politikenに対し、デンマーク企業の元従業員が使っていた流出パスワードを入手したと語った。別途、 The Registerの10月13日付報道によると、少なくとも3つのPays ApSのアカウントで、管理者アカウントを含め、「123456」というパスワードが使われていたという。
デンマーク当局は登録簿への不正アクセスを確認したが、この脆弱なパスワードが最初の侵入経路だったとは公表していない。新たな報道では、容疑者がAI生成コードを使って個人情報の取得を自動化した可能性も示されており、第三者のセキュリティ、特権アカウントの保護、不審なデータベース活動の監視に懸念が生じている。
「123456」のパスワードが侵害に結び付いた経緯
デンマークの中央人口登録簿には、現在の住民、死亡者、過去に同国に居住していた人々を含む約1,100万件の記録が登録されている。
10月5日の 政府発表で、デンマーク当局は、権限のない人物が民間企業の正規の登録簿アクセス権を悪用し、約880万人の個人情報にアクセスしたことを確認した。
デンマーク当局は、約880万人の登録者について、氏名、住所、CPR番号などへの不正アクセスを確認した。政府によると、保護対象の氏名と住所は不正アクセスの対象外であり、取得された情報の全容は引き続き調査中だった。
政府は調査が継続中だと述べた。880万人という数字には、デンマークの現在の人口ではなく、死亡者や元住民も含まれている。関係する企業はPays ApSで、同社のマネージングディレクターであるSophie Laursen氏は10月9日、CPR登録簿を検索する正規のアクセス権が悪用されたことを認めた。
責任を主張する人物はPolitikenに対し、CPR情報を取得して外部に保存する2つのコンピュータープログラムを作成したと語った。デンマーク当局は、この侵入に関する説明を独自には確認していない。
デンマークのニュース通信社 Ritzauの報道によると、この人物はCPR番号を含むファイルをPolitikenに提供した。同紙はそのファイルをサイバーセキュリティ専門家に転送し、専門家は攻撃者の説明には信憑性があると判断した。さらに 10月13日に公開された報道でRitzauは、容疑者がAI生成プログラムを使って8,749,975件のCPR番号を取得したと主張していると伝えた。
2人の専門家が4万行を超えるコードを調査し、AIによって生成されたように見えると結論付けた。ただし、その評価が対象としたのはコードの出所とみられる特徴であり、取得された記録数の主張を独自に確認したものではない。
Politikenの報道によると、このプログラムは1977年生まれではなく1877年生まれの人物を誤って検索したため、1977年生まれに関連するCPR番号は、容疑者が同紙に共有した資料に含まれていなかった。
デンマーク当局は、攻撃者が主張する抽出件数を独自には確認していない。
デンマークの放送局 TV 2が入手した文書によると、不正アクセスを行った者は9月10日から約21日と17時間にわたりCPRシステムにアクセスしていた。
企業の認証済みアクセスを通じて、正しいCPR番号を特定する目的とみられる自動検索が約1,400万件実行された。予備調査では、不正な活動は9月20日ごろに停止したものの、侵害されたアクセス権は10月2日まで利用可能な状態にあり、当局が事案を発見して企業のアクセス権を停止したとみられている。
デンマークの データ保護庁によると、侵害通知には、正しいCPR番号を特定するための多数の自動検索が記載されていた。同庁は10月4日に通知を受け、事案の発生経緯や、影響を受けた個人情報の処理責任者を含め、調査を開始した。
約1,400万件の検索はデータベースへのクエリー数であり、8,749,975件は攻撃者が取得したと主張するCPR番号の数である。デンマーク当局は約880万人の登録者に影響する不正アクセスを確認しているが、最終的に抽出・保持された情報の正確な量は依然として不明だ。
政府は10月5日に事案を公表した。翌日の記者会見で、デンマークの研究・教育・デジタル化省の部門責任者であるMikkel Leihardt氏は、当局が企業によるCPR登録簿検索の料金に異常な高額請求があったことを特定した後、侵害を発見したと説明した。 Ritzau。
責任を主張する人物は、情報を販売したり公開したりする意図はなかったと述べたと報じられている。この主張は独自に検証されておらず、なりすましやその他の悪用の可能性を排除するものでもない。
この事案は、攻撃者がデータベース所有者のシステムに直接侵入しなくても、信頼された外部パートナーを通じて組織が機密情報を露出させ得ることを示している。
関連する例として、 BigCommerceのサードパーティーアプリケーションにおけるセキュリティインシデントがあり、外部との連携が顧客情報にアクセスできる場合に組織が直面する、より広範なリスクを浮き彫りにしている。
デンマークの侵害がセキュリティチームに意味すること
報じられたパスワードは最も印象的な詳細だが、より大きな懸念は、正規のアクセス権を持つアカウントが、適時に対応されることなく数百万件のデータベース検索を実行できたとされる点にある。
AI生成コードが使われたとされる点も、別の側面を加えている。攻撃者は、高度なツールをゼロから開発しなくても大規模なデータ収集を自動化できる可能性があり、効果的なアクセス制御と行動監視が特に重要になる。
機密性の高い顧客情報を扱うセキュリティチームにとって、この事案は4つの優先事項を浮き彫りにしている。認証の強化、第三者アクセスの制限、異常な活動の監視、本人確認の改善だ。
認証と特権アカウントのセキュリティを強化する
組織は、一般的に使われているパスワードや侵害されたパスワードの使用を禁止し、固有の認証情報を要求するとともに、対応している環境ではフィッシング耐性のある多要素認証を導入すべきだ。
セキュリティチームはまた、特権アカウントを定期的に見直し、従業員が退職した際にはアクセス権を取り消し、必要に応じて認証情報をローテーションすべきだ。これらの取り組みは、eSecurityPlanetの ID・アクセス管理ソリューションガイドで説明されているIDガバナンスと認証の制御にも沿うものだ。
ただし、強力な認証でも、侵害されたセッションや盗まれた認証情報が関わるあらゆる攻撃を防げるわけではない。組織は、認証済みアカウントがアクセス権を得た後に何をしているかも監視しなければならない。
機密性の高いデータベースへの第三者アクセスを制限する
外部ベンダーには、割り当てられた機能の遂行に必要な権限だけを付与すべきだ。
例えば、個々の顧客記録を確認する権限を与えられた企業に、数百万件のデータベースエントリーへの無制限のアクセスは必要ないかもしれない。
セキュリティチームは、次の対策を講じるべきだ。
- 最小権限のアクセス権を適用し、管理者アカウントと第三者アカウントを定期的に見直す。
- 通常とは異なるデータベース検索、大量取得、自動クエリーに対して、レート制限とアラートを設定する。
- 不要な認証情報を取り消し、通常の利用パターンから逸脱していないかベンダーの活動を監視する。
これらの対策により、攻撃者が認証に成功した場合でも、侵害されたアカウントによる被害を抑えられる。
外部アクセスに伴うリスクについては、eSecurityPlanetの 2026 Verizon Data Breach Investigations Reportの分析でも論じられており、第三者の関与や、現代のサイバーインシデントに寄与するその他の要因を検証している。
認証成功後の不審な活動を検知する
報告された約1,400万件の検索は、認証済みの活動を監視する重要性を浮き彫りにしている。
セキュリティチームは、データベースクエリーの予期せぬ急増、通常とは異なるアクセス時間、大量の個人記録に関わる反復的なリクエストを調査すべきだ。行動分析、データベース活動の監視、自動アラートにより、大規模なデータ抽出が行われる前に不審なパターンを特定できる。
予期せぬ請求額やAPI利用量の異常な増加も有用な警告シグナルになり得るが、専用のセキュリティ監視を補完するものとし、主要な検知手段にすべきではない。
不正を防ぐため本人確認を強化する
この侵害は、個人情報を本人確認の証拠として依存するリスクも示している。氏名、住所、生年月日、国民識別番号は顧客の特定に役立つかもしれないが、それだけでアカウントへのアクセスや変更の権限を証明するものではない。
デンマーク移民局と国際採用・統合庁は、侵害を受けて、電話での問い合わせに対する 追加の本人確認チェックを導入した。これは、個人識別情報が流出した後、組織が認証手続きを強化する必要に迫られる可能性を示している。
- 機密情報を扱う組織は、適切な場合にはデンマークのMitIDシステム、以前に検証済みの経路を通じて送信するワンタイムコード、登録済みの電話番号への折り返しなど、より強力な確認手段を使うべきだ。
- 金融機関、医療機関、政府機関は、パスワードのリセット、アカウント復旧、機密性の高い顧客情報の変更に関する手続きを見直すべきだ。
- 情報が流出した可能性のある人々にとって、個人識別番号が他の識別情報と組み合わされると、フィッシングやなりすましの試みがより巧妙になる可能性がある。
- 影響を受けた人は、デンマーク政府の公式ガイダンスに従い、予期しない通信に警戒し、未確認の発信者やメール送信者にパスワードや機密情報を提供しないようにすべきだ。
- セキュリティ責任者にとっての中心的な教訓は、認証に成功したからといって、決して自動的に信頼してはならないということだ。
デンマークの事案は、組織がパスワードポリシーを超えた多層的な保護を必要とする理由を示している。強力な認証、制限された第三者権限、継続的な監視、信頼できる本人確認が連携して初めて、侵害された認証情報で攻撃者が実行できることを制限できる。
1つの盗まれた認証情報が、何百万件もの機密記録への無制限の経路になってはならない。
関連記事：第三者のセキュリティリスクに関する別の例として、 約3,800万人の顧客に影響したManoManoのデータ侵害を取り上げたeSecurityPlanetの報告を読むと、侵害されたベンダーが機密性の高い顧客情報をどのように露出させ得るかが分かる。