A dán központi népesség-nyilvántartás (CPR) elleni jelentős adatszivárgása jól példázza, hogy akár egyetlen gyenge jelszó és a partneri hozzáférések nem megfelelő felügyelete is nemzeti szintű kockázatot jelenthet. Az odensei székhelyű Pays ApS informatikai vállalat jogszerű hozzáféréssel rendelkezett a CPR-adatbázis lekérdezéséhez, de a beszámolók szerint legalább három felhasználói fiókjához – köztük az adminisztrátori fiókhoz – a „123456” jelszót használták. A támadó állítólag egy korábbi munkavállaló kiszivárgott jelszavával jutott be a rendszerbe, majd a vállalat engedélyezett hozzáférését kihasználva személyes adatokat gyűjtött össze a nyilvántartásból.
A Politiken.dk oknyomozó cikke szerint a támadó 8 749 975 nyilvántartási rekord fért hozzá, ezért a sajtóban 8,7 – 8,8 millió érintettről is szó esik. Az adatok mintegy 5,5 millió élő és 3,3 millió elhunyt személyre vonatkoznak. A jogosulatlan hozzáférés szeptember 10-én kezdődött, és összesen 21 napig és 17 óráig tartott. Ez komoly kérdéseket vet fel az incidensek észlelésére szolgáló mechanizmusok és a felügyeleti kontrollok hatékonyságával kapcsolatban. Az érintett adatok között nevek, címek és CPR-számok is szerepeltek, így az incidens a dániai népességének jelentős részét érintheti.
A dán CPR-adatbázis és a korábbi Veradigm elleni incidens egyaránt azt mutatja, hogy a kiszivárgott hitelesítő adatokkal a támadók a jogosult hozzáféréseket kihasználva érzékeny személyes és betegadatokhoz juthatnak, ezért elengedhetetlen a hozzáférések szigorú korlátozása és folyamatos felügyelete. A Cybersecurity News által ismertetett kutatás szerint az „123456” továbbra is a leggyakrabban használt jelszavak között szerepel, ami rávilágít a gyenge jelszavak jelentette biztonsági kockázatokra.
A harmadik felek által birtokolt, jogszerű hozzáféréseket ugyanolyan szigorúan kell védeni, mint magát a központi rendszert. A szervezeteknek egyedi, erős jelszavakat és többtényezős hitelesítést kell alkalmazniuk, a munkaviszony megszűnésekor pedig haladéktalanul le kell tiltaniuk az érintett felhasználói fiókokat. Emellett olyan felügyeleti rendszerekre van szükség, amelyek riasztást küldenek a szokatlanul nagy számú keresés vagy a tömeges adatlekérdezés észlelésekor. Bár a támadó állítólag nem kívánja eladni vagy nyilvánosságra hozni az adatokat, az illetéktelenül megszerzett másolatok puszta létezése is súlyos adatvédelmi kockázatot jelent. A jelenleg ismert információk nem igazolják, hogy az adatokat már felhasználták volna csalásra vagy más visszaélésre.