Kebocoran data yang melibatkan Central Register of Persons (CPR), basis data kependudukan Denmark, memunculkan pertanyaan serius mengenai keamanan sistem yang menyimpan informasi pribadi masyarakat. Otoritas Denmark mengonfirmasi pada 5 Oktober bahwa data sekitar 8,8 juta orang terekspos, termasuk nama, alamat, dan nomor CPR. Data tersebut juga mencakup orang yang telah meninggal dunia maupun mereka yang sudah pindah ke luar negeri.
Seorang peretas yang mengaku bertanggung jawab atas insiden tersebut mengatakan kepada surat kabar Denmark, Politiken, bahwa akses ke sistem diduga dilindungi kata sandi sederhana, yaitu “123456”. Menurut pengakuannya, setidaknya tiga akun milik Pays ApS, perusahaan IT kecil yang memiliki akses resmi ke registri tersebut, menggunakan kata sandi itu. Salah satunya disebut merupakan akun administrator.
Direktur pelaksana Pays ApS, Sophie Laursen, mengonfirmasi pada 9 Oktober bahwa akses perusahaan telah disalahgunakan. Situs web perusahaan tersebut kemudian tidak lagi dapat diakses. Meski begitu, rincian lengkap mengenai bagaimana serangan terjadi masih belum sepenuhnya jelas, sehingga klaim peretas mengenai kata sandi tersebut perlu dipandang sebagai informasi yang dilaporkan, bukan kesimpulan final penyelidikan.
Baca Juga: Jepang Tetapkan Status Darurat Siber, Serangan ke Perusahaan Kian Meluas
Akses Diduga Berlangsung Selama Hampir Dua Pekan
Dokumen yang diperoleh penyiar Denmark TV 2 menunjukkan bahwa penyerang mulai mengakses sistem pada 10 September dan menjalankan sekitar 14 juta pencarian otomatis hingga 20 September. Aktivitas tersebut baru diketahui pada 2 Oktober, setelah seorang staf kementerian menemukan tagihan yang menunjukkan lonjakan aktivitas tidak biasa dari Pays.
Sejumlah laporan juga menyebut akses awal mungkin berasal dari kata sandi bocor milik mantan karyawan, tetapi detailnya masih belum pasti. Jika klaim penggunaan kata sandi lemah terbukti, insiden ini menunjukkan bahwa keamanan sistem tidak cukup bergantung pada pembatasan akses resmi. Pengelolaan akun, pengawasan aktivitas, dan deteksi anomali juga berperan penting dalam mencegah penyalahgunaan.
Nomor CPR Tak Lagi Cukup untuk Verifikasi Identitas
Peretas mengklaim tidak berniat menjual atau menyebarkan data yang diperoleh. Namun, klaim tersebut tidak menghilangkan risiko karena informasi yang sudah diakses dapat disalahgunakan atau beredar di kemudian hari. Badan Keamanan Publik Denmark, Samsik, menyatakan nomor CPR tidak lagi dapat diandalkan sebagai satu-satunya cara untuk memverifikasi identitas seseorang.
Otoritas mengimbau masyarakat Denmark agar mewaspadai pesan phishing yang menggunakan informasi pribadi untuk terlihat meyakinkan. Insiden ini juga menjadi pengingat bagi pengguna untuk mengganti kata sandi sederhana seperti “123456” dengan kombinasi unik dan kuat. Bagi organisasi yang menangani data sensitif, penerapan autentikasi multifaktor dan pemantauan aktivitas akun dapat menjadi lapisan perlindungan tambahan.
Eksplorasi konten lain dari Gizmologi.id
Berlangganan untuk dapatkan pos terbaru lewat email.
