Hoàng Nam✔
Writer
Một tin tặc tuyên bố chỉ cần sử dụng mật khẩu cực kỳ đơn giản “123456” để truy cập trái phép hệ thống dữ liệu dân cư quốc gia của Đan Mạch, nơi lưu trữ thông tin của khoảng 8,8 triệu người.
Theo The Register, vụ việc được cho là xảy ra vào tháng 9/2026, làm dấy lên lo ngại về an ninh dữ liệu tại một trong những hệ thống quản lý thông tin quan trọng nhất của quốc gia Bắc Âu này. Lỗ hổng không nằm ở hệ thống dữ liệu quốc gia, mà được cho là xuất phát từ một đơn vị bên ngoài có quyền truy cập hợp pháp.
Cơ quan đăng ký dân cư trung ương Đan Mạch (CPR) lưu trữ các thông tin nhận dạng như họ tên, địa chỉ, ngày sinh, quốc tịch và tình trạng hôn nhân. Mỗi người được cấp một mã CPR gồm 10 chữ số, được sử dụng rộng rãi trong các lĩnh vực như y tế, thuế và ngân hàng. Trong thông báo chính thức, CPR cho biết kẻ tấn công đã lợi dụng quyền truy cập hợp pháp của một doanh nghiệp Đan Mạch để tra cứu thông tin trong hệ thống. Theo quy định, các doanh nghiệp đáp ứng điều kiện có thể được phép truy vấn dữ liệu của một nhóm người đã được xác định trước.
Truyền thông Đan Mạch sau đó xác định doanh nghiệp liên quan là Pays ApS, có trụ sở tại đảo Funen. Giám đốc điều hành Sophie Laursen cũng xác nhận thông tin này. Vụ việc bị phát hiện khi một nhân viên cơ quan nhà nước nhận thấy nhật ký hệ thống ghi nhận lượng truy vấn bất thường từ Pays trong tháng trước đó. Đài truyền hình TV 2 cho biết kẻ tấn công đã thực hiện khoảng 14 triệu lượt truy vấn tự động trong vòng 10 ngày. Website của Pays từng bị đưa xuống ngoại tuyến, nhưng đã hoạt động trở lại tại thời điểm The Register đưa tin.
Ba tài khoản cùng sử dụng mật khẩu “123456”
Chi tiết gây sốc hơn được tờ Politiken công bố sau khi trao đổi với người tự nhận thực hiện vụ tấn công thông qua một dịch vụ trò chuyện mã hóa. Theo lời người này, họ sử dụng thông tin đăng nhập của một cựu nhân viên, trong đó mật khẩu là “123456”. Sau khi đăng nhập, kẻ tấn công viết hai đoạn mã để trích xuất dữ liệu từ CPR sang một hệ thống bên thứ ba.
Đáng chú ý, người này tuyên bố có tới ba tài khoản khác nhau cùng sử dụng mật khẩu đơn giản như vậy.
Kẻ tấn công nói không có ý định công khai hoặc bán dữ liệu đã lấy được, đồng thời bày tỏ sự kinh ngạc trước mức độ yếu kém trong bảo mật. Tuy nhiên, đây mới là lời khai của người tự nhận thực hiện vụ việc, không đồng nghĩa mọi chi tiết đã được cơ quan chức năng xác nhận độc lập. Để minh họa, người này ví tình huống như có người bỏ quên một chiếc vali chứa 10 kg plutonium tại nhà ga, rồi một người vô gia cư lấy trộm. Theo lập luận của họ, hành vi trộm cắp là sai, nhưng việc để vật liệu nguy hiểm như vậy ở nơi công cộng cũng không thể chấp nhận.
Politiken cho biết họ đã nhận được một tệp chứa các mã CPR từ nguồn tin. Nhà nghiên cứu an ninh mạng độc lập Emil Hørning kiểm tra và nhận định lời kể của người này có vẻ đáng tin, còn phương thức tấn công được mô tả là khả thi.
Dữ liệu có thể bị lợi dụng như thế nào?
Theo CPR, hệ thống lưu trữ khoảng 11 triệu hồ sơ, bao gồm cả người đã qua đời và những người đang sống ở nước ngoài. Trong khi đó, dân số Đan Mạch chỉ hơn 6 triệu người. Con số 8,8 triệu người được đề cập trong vụ việc là lượng dữ liệu mà kẻ tấn công tuyên bố đã tiếp cận, không phải tổng số hồ sơ của hệ thống.
Thông tin bị xâm nhập được cho là bao gồm họ tên, địa chỉ, mã CPR và các dữ liệu nhận dạng khác. Đây đều là những thông tin có giá trị đối với tội phạm mạng, đặc biệt trong các chiến dịch lừa đảo nhắm mục tiêu. Khi kết hợp nhiều dữ liệu cá nhân, kẻ gian có thể tạo ra những thông điệp giả mạo rất thuyết phục, mạo danh ngân hàng, cơ quan thuế hoặc cơ sở y tế để lừa nạn nhân cung cấp thêm thông tin, chuyển tiền hoặc cài đặt phần mềm độc hại.
Việc người tự nhận thực hiện vụ tấn công tuyên bố không bán hay công khai dữ liệu không đồng nghĩa thông tin đã được bảo đảm an toàn. Cũng chưa có cơ sở để kết luận dữ liệu đã bị sử dụng cho các mục đích khác. CPR cho biết cuộc điều tra vẫn đang được tiến hành và cơ quan này đã triển khai các biện pháp tăng cường an ninh.
Vụ việc một lần nữa cho thấy một hệ thống dữ liệu có thể gặp rủi ro nghiêm trọng không chỉ vì lỗ hổng kỹ thuật, mà còn bởi những tài khoản được cấp quyền truy cập nhưng sử dụng mật khẩu yếu, thiếu kiểm soát hoặc không được giám sát đầy đủ. Khi một bên thứ ba có thể truy cập dữ liệu nhạy cảm của hàng triệu người, bảo mật của toàn bộ hệ thống phụ thuộc cả vào mắt xích đó.
Theo The Register, vụ việc được cho là xảy ra vào tháng 9/2026, làm dấy lên lo ngại về an ninh dữ liệu tại một trong những hệ thống quản lý thông tin quan trọng nhất của quốc gia Bắc Âu này. Lỗ hổng không nằm ở hệ thống dữ liệu quốc gia, mà được cho là xuất phát từ một đơn vị bên ngoài có quyền truy cập hợp pháp.
Cơ quan đăng ký dân cư trung ương Đan Mạch (CPR) lưu trữ các thông tin nhận dạng như họ tên, địa chỉ, ngày sinh, quốc tịch và tình trạng hôn nhân. Mỗi người được cấp một mã CPR gồm 10 chữ số, được sử dụng rộng rãi trong các lĩnh vực như y tế, thuế và ngân hàng. Trong thông báo chính thức, CPR cho biết kẻ tấn công đã lợi dụng quyền truy cập hợp pháp của một doanh nghiệp Đan Mạch để tra cứu thông tin trong hệ thống. Theo quy định, các doanh nghiệp đáp ứng điều kiện có thể được phép truy vấn dữ liệu của một nhóm người đã được xác định trước.
Truyền thông Đan Mạch sau đó xác định doanh nghiệp liên quan là Pays ApS, có trụ sở tại đảo Funen. Giám đốc điều hành Sophie Laursen cũng xác nhận thông tin này. Vụ việc bị phát hiện khi một nhân viên cơ quan nhà nước nhận thấy nhật ký hệ thống ghi nhận lượng truy vấn bất thường từ Pays trong tháng trước đó. Đài truyền hình TV 2 cho biết kẻ tấn công đã thực hiện khoảng 14 triệu lượt truy vấn tự động trong vòng 10 ngày. Website của Pays từng bị đưa xuống ngoại tuyến, nhưng đã hoạt động trở lại tại thời điểm The Register đưa tin.
Ba tài khoản cùng sử dụng mật khẩu “123456”
Chi tiết gây sốc hơn được tờ Politiken công bố sau khi trao đổi với người tự nhận thực hiện vụ tấn công thông qua một dịch vụ trò chuyện mã hóa. Theo lời người này, họ sử dụng thông tin đăng nhập của một cựu nhân viên, trong đó mật khẩu là “123456”. Sau khi đăng nhập, kẻ tấn công viết hai đoạn mã để trích xuất dữ liệu từ CPR sang một hệ thống bên thứ ba.
Đáng chú ý, người này tuyên bố có tới ba tài khoản khác nhau cùng sử dụng mật khẩu đơn giản như vậy.
Kẻ tấn công nói không có ý định công khai hoặc bán dữ liệu đã lấy được, đồng thời bày tỏ sự kinh ngạc trước mức độ yếu kém trong bảo mật. Tuy nhiên, đây mới là lời khai của người tự nhận thực hiện vụ việc, không đồng nghĩa mọi chi tiết đã được cơ quan chức năng xác nhận độc lập. Để minh họa, người này ví tình huống như có người bỏ quên một chiếc vali chứa 10 kg plutonium tại nhà ga, rồi một người vô gia cư lấy trộm. Theo lập luận của họ, hành vi trộm cắp là sai, nhưng việc để vật liệu nguy hiểm như vậy ở nơi công cộng cũng không thể chấp nhận.
Politiken cho biết họ đã nhận được một tệp chứa các mã CPR từ nguồn tin. Nhà nghiên cứu an ninh mạng độc lập Emil Hørning kiểm tra và nhận định lời kể của người này có vẻ đáng tin, còn phương thức tấn công được mô tả là khả thi.
Dữ liệu có thể bị lợi dụng như thế nào?
Theo CPR, hệ thống lưu trữ khoảng 11 triệu hồ sơ, bao gồm cả người đã qua đời và những người đang sống ở nước ngoài. Trong khi đó, dân số Đan Mạch chỉ hơn 6 triệu người. Con số 8,8 triệu người được đề cập trong vụ việc là lượng dữ liệu mà kẻ tấn công tuyên bố đã tiếp cận, không phải tổng số hồ sơ của hệ thống.
Thông tin bị xâm nhập được cho là bao gồm họ tên, địa chỉ, mã CPR và các dữ liệu nhận dạng khác. Đây đều là những thông tin có giá trị đối với tội phạm mạng, đặc biệt trong các chiến dịch lừa đảo nhắm mục tiêu. Khi kết hợp nhiều dữ liệu cá nhân, kẻ gian có thể tạo ra những thông điệp giả mạo rất thuyết phục, mạo danh ngân hàng, cơ quan thuế hoặc cơ sở y tế để lừa nạn nhân cung cấp thêm thông tin, chuyển tiền hoặc cài đặt phần mềm độc hại.
Việc người tự nhận thực hiện vụ tấn công tuyên bố không bán hay công khai dữ liệu không đồng nghĩa thông tin đã được bảo đảm an toàn. Cũng chưa có cơ sở để kết luận dữ liệu đã bị sử dụng cho các mục đích khác. CPR cho biết cuộc điều tra vẫn đang được tiến hành và cơ quan này đã triển khai các biện pháp tăng cường an ninh.
Vụ việc một lần nữa cho thấy một hệ thống dữ liệu có thể gặp rủi ro nghiêm trọng không chỉ vì lỗ hổng kỹ thuật, mà còn bởi những tài khoản được cấp quyền truy cập nhưng sử dụng mật khẩu yếu, thiếu kiểm soát hoặc không được giám sát đầy đủ. Khi một bên thứ ba có thể truy cập dữ liệu nhạy cảm của hàng triệu người, bảo mật của toàn bộ hệ thống phụ thuộc cả vào mắt xích đó.
