Danimarka Nüfus Kaydı '123456' Şifresiyle Hacklendi: 8.8 Milyon Veri Sızdı

Danimarka nüfus kaydı hack olayı nedir?

Eylül 2026'da bir saldırgan, Danimarka'nın ulusal nüfus kaydı CPR'ye yetkili bir üçüncü taraf şirket üzerinden sızarak yaklaşık 8.8 milyon kişinin kimlik, adres ve CPR numarası verisini ele geçirdi. Saldırıda '123456' gibi zayıf bir şifre kullanıldı.

Danimarka Merkezi Kişi Kaydı (CPR), ülkedeki kişilerin ad, adres, doğum tarihi, vatandaşlık ve medeni durum bilgilerini tutan resmi nüfus kaydıdır. Her bireye sağlık, vergi ve bankacılık gibi alanlarda kullanılan 10 haneli benzersiz bir CPR numarası atanır.

CPR'nin açıklamasına göre saldırgan, sisteme 'bir Danimarka şirketinin CPR sisteminde bilgi arama yasal erişimini kötüye kullanarak' girdi. Bu, bir tedarik zinciri saldırısı olarak nitelendiriliyor; zira saldırgan doğrudan CPR'ye değil, CPR'ye erişim yetkisi olan özel bir şirket üzerinden verilere ulaştı.

İlk basın açıklamasında saldırganın kimliği veya hangi şirketin kullanıldığı belirtilmedi. Ancak Danimarka medyası, saldırının Funen merkezli Pays ApS üzerinden gerçekleştiğini ortaya çıkardı; şirketin yöneticisi Sophie Laursen bunu doğruladı.

Saldırgan CPR sistemine nasıl sızdı?

Saldırgan, Pays ApS'de çalışmış eski bir çalışanın '123456' şifreli hesabını kullanarak sisteme giriş yaptı. Ardından CPR verilerini üçüncü taraf bir sisteme aktarmak için iki script oluşturdu ve 10 gün boyunca 14 milyon otomatik sorgu çalıştırdı.

Politiken gazetesinin şifreli bir sohbet servisi üzerinden görüştüğü saldırgan, eski bir çalışanın kimlik bilgilerini kullandığını ve bu hesabın şifresinin '123456' olduğunu söyledi. Saldırgan, sisteme girdikten sonra CPR'den bilgi çekip üçüncü taraf bir sisteme aktaran iki script yazdı.

İddiaya göre üç ayrı hesap da aynı basit şifreyi kullanıyordu. Yerel TV kanalı TV 2, saldırganın on gün içinde 14 milyon otomatik arama yaptığını bildirdi. İhlal, ay sonunda bir devlet çalışanının Pays'in önceki aya ait olağandışı yoğunluktaki aktivite kaydını fark etmesiyle ortaya çıktı.

Saldırgan, çalınan verileri sızdırma veya satma niyeti olmadığını belirterek güvenlik açığının boyutuna şaşırdığını ifade etti. Bağımsız siber güvenlik araştırmacısı Emil Hørning, saldırganın anlattığı yöntemlerin 'makul' ve hesabının 'inandırıcı' göründüğünü söyledi.

1. Saldırgan, eski bir çalışanın '123456' şifreli hesabıyla Pays ApS sistemine giriş yaptı.
2. CPR verilerini çeken iki otomatik script oluşturdu.
3. 10 gün boyunca 14 milyon otomatik sorgu çalıştırdı.
4. İhlal, anormal aktivite kaydı fark edilene kadar tespit edilemedi.

CPR veri ihlali neden bu kadar tehlikeli?

Ele geçirilen ad, adres, doğum tarihi ve CPR numaraları; sağlık, vergi ve bankacılık işlemlerinde kimlik doğrulama için kullanıldığından, saldırganlar bu bilgilerle çok hedefli kimlik avı ve dolandırıcılık yapabilir. Verilerin satılmasa bile kötüye kullanılma riski yüksektir.

CPR numaraları Danimarka'da kimlik doğrulamanın temel unsuru olduğu için, bu verilerin ele geçirilmesi bireyler için ciddi bir risk oluşturuyor. Saldırganlar, bu bilgilerle kişiselleştirilmiş kimlik avı saldırıları düzenleyebilir, fidye yazılımı bulaştırabilir veya banka dolandırıcılığı yapabilir.

Saldırganın verileri satmayacağını veya sızdırmayacağını açıklaması bir nebze rahatlatıcı olsa da, verilerin nasıl kullanılacağına dair bir taahhütte bulunmadı. Uzmanlar, bu tür verilerin yıllar sonra bile kötüye kullanılabileceği konusunda uyarıyor.

Olay, tedarik zinciri güvenliğinin kritik önemini bir kez daha gösterdi. CPR gibi yüksek güvenlik gerektiren sistemlere erişimi olan üçüncü taraf şirketlerin, en az ana sistem kadar sıkı denetlenmesi gerekiyor.

Zayıf şifreler kurumsal sistemlerde neden hâlâ en büyük risk?

Zayıf şifreler, saldırganların en kolay hedefidir; '123456' gibi tahmin edilebilir şifreler, otomatik araçlarla saniyeler içinde kırılabilir. Kurumsal sistemlerde tek bir zayıf hesap, milyonlarca kişinin verisini riske atabilir.

Bu olayda üç ayrı hesabın da aynı basit şifreyi kullanması, kurumsal şifre politikalarının ne kadar zayıf olabileceğini gösteriyor. Güçlü şifre zorunluluğu, çok faktörlü kimlik doğrulama ve düzenli erişim denetimi gibi temel önlemler bile bu ihlali önleyebilirdi.

Siber güvenlik uzmanları, kurumların yalnızca şifre gücüne değil, aynı zamanda hesap erişimlerinin sürekli izlenmesine ve anormal aktivitelerin gerçek zamanlı tespitine yatırım yapması gerektiğini vurguluyor.

Türkiye'de de benzer riskler mevcut. Kamu ve özel sektör sistemlerinde zayıf şifre kullanımı, tedarik zinciri saldırılarına açık kapı bırakabilir. Kurumların, üçüncü taraf erişimlerini düzenli olarak gözden geçirmesi ve en az yetki prensibini uygulaması kritik önem taşıyor.

Benzer veri ihlallerinden korunmak için ne yapılmalı?

Kurumlar, üçüncü taraf erişimlerini sıkı denetlemeli, çok faktörlü kimlik doğrulamayı zorunlu kılmalı ve anormal aktiviteleri gerçek zamanlı izlemeli. Bireyler ise her hesapta güçlü ve benzersiz şifreler kullanmalı, şifre yöneticisi ve iki adımlı doğrulama ile hesaplarını korumalı.

Danimarka'daki olay, tedarik zinciri saldırılarının ne kadar yıkıcı olabileceğini gösteriyor. Kurumların, CPR gibi kritik sistemlere erişimi olan tüm üçüncü tarafları düzenli olarak denetlemesi ve en az yetki prensibini uygulaması gerekiyor.

Bireysel kullanıcılar için de dersler var: Aynı şifreyi birden fazla yerde kullanmayın, '123456' gibi tahmin edilebilir şifrelerden kaçının ve mümkün olan her yerde iki adımlı doğrulamayı açın. Bu basit adımlar, olası bir veri ihlalinde zararı büyük ölçüde azaltır.

Teknoloji forumlarında kullanıcılar, benzer ihlallerin Türkiye'de de yaşanabileceğini ve kamu kurumlarının şifre politikalarını gözden geçirmesi gerektiğini tartışıyor. Uzmanlar, şifre güvenliğinin yalnızca bireysel değil, kurumsal bir sorumluluk olduğunu vurguluyor.

1. Üçüncü taraf erişimlerini düzenli olarak denetleyin.
2. Çok faktörlü kimlik doğrulamayı zorunlu kılın.
3. Anormal aktiviteleri gerçek zamanlı izleyin.
4. Çalışanlara güçlü şifre eğitimi verin.
5. En az yetki prensibini uygulayın.

Sonuç

Danimarka nüfus kaydı CPR'ye '123456' şifresiyle sızılması, zayıf şifrelerin ve denetimsiz üçüncü taraf erişimlerinin ne kadar yıkıcı olabileceğini gösteriyor. 8.8 milyon kişinin kimlik verisi ele geçirildi. Kurumların bir an önce güçlü şifre politikaları, çok faktörlü kimlik doğrulama ve gerçek zamanlı izleme sistemlerine yatırım yapması gerekiyor. Bireyler de kullandıkları her hesapta güçlü ve benzersiz şifreler tercih etmeli.