Senha `123456` usada em violação de dados do CPR dinamarquês

Artigo original ↗ Discussão no Hacker News ↗

Uma enorme violação do registro civil nacional da Dinamarca (CPR) está atraindo escrutínio depois que invasores supostamente acessaram o sistema usando uma conta de administrador protegida pela senha “123456.” Comentadores argumentam que, embora a senha trivial e a falta de autenticação multifator sejam gravíssimas, o problema mais profundo é sistêmico: números de identidade críticos são amplamente reutilizados tanto para identificação quanto para quase-autenticação, o acesso de terceiros é mal controlado e o monitoramento só reagiu quando anomalias de faturamento apareceram. Muitos pedem regulamentação mais forte, auditorias e o tratamento de identificadores como o CPR como IDs públicos em vez de segredos, observando que, do contrário, falhas semelhantes são inevitáveis.

Escopo da Violação e Contexto do CPR

  • CPR é o ID pessoal de 10 dígitos da Dinamarca, comparável a um SSN dos EUA; ele codifica data de nascimento e sexo e é amplamente usado para identificação.
  • Muitos comentaristas argumentam que o CPR (e IDs nacionais semelhantes) deveria ser tratado como identificador público, não como segredo ou fator de autenticação.
  • Alguns fazem comparação com a Suécia e a Noruega, onde números pessoais ou dados relacionados são mais públicos e a autenticação depende de sistemas criptográficos e de single sign-on nacional, não do próprio ID.

Falhas Técnicas Imediatas

  • A conta comprometida pertencia a uma pequena empresa terceirizada (dois funcionários).
  • A senha era “123456”; segundo relatos, não havia MFA e as políticas de senha eram muito fracas ou inexistentes.
  • A conta estava vinculada a um ex-funcionário e aparentemente não foi desativada, indicando má gestão de desligamento e do ciclo de vida da conta.
  • O abuso durou cerca de 21–22 dias e só foi detectado porque o volume de faturamento disparou, o que implica ausência de limites efetivos de taxa, detecção de anomalias ou monitoramento de acesso.

Problemas Sistêmicos Mais Amplos

  • Muitos argumentam que o problema raiz não é apenas a senha fraca, mas:
    • Conceder a uma pequena empresa amplo acesso a um registro crítico com supervisão mínima.
    • Falta de design de menor privilégio e de limites de download.
    • Falhas estruturais no uso do CPR, conhecidas há muito tempo e “remendadas” por anos.
  • Alguns sugerem auditorias regulares de terceiros, no estilo PCI, e requisitos de base mais fortes (MFA, monitoramento, controles de acesso).

Segurança vs Produtividade e Usabilidade

  • Debate sobre se segurança e produtividade estão inerentemente em tensão:
    • Um lado afirma que as pessoas naturalmente contornam controles (por exemplo, senhas simples) para conseguir trabalhar.
    • Outros contra-argumentam com exemplos (SSO, gerenciadores de senha, passkeys, FDE) em que segurança e usabilidade melhoram ao mesmo tempo.
  • A frustração com segurança corporativa excessivamente zelosa ou mal projetada, que bloqueia gerenciadores de senha ou impõe políticas inutilizáveis, é contrastada com este caso, em que quase não havia salvaguardas.

Responsabilização, Cultura e Governança

  • Há apelos por responsabilização mais forte, indo de melhor regulação e “códigos de construção de software” a penas legais severas; outros alertam contra criminalizar erros honestos.
  • Preocupação recorrente de que organizações transformam indivíduos de baixo escalão em bodes expiatórios em vez de corrigir falhas sistêmicas de design e governança.

Tom e Reações

  • Mistura de indignação, resignação (“nem é mais surpreendente”) e humor sombrio, incluindo muitas referências a “Spaceballs” e senhas de brincadeira.