وزارت دیجیتال‌سازی دانمارک به‌تازگی از یک نشت اطلاعاتی گسترده و نگران‌کننده در سیستم «ثبت احوال مرکزی» (Central Person Register یا همان CPR) خبر داده است که در آن، اطلاعات هویتی حدود ۸.۸ میلیون رکورد در طی بازه زمانی ده روزه توسط کاربران غیرمجاز استخراج شده است. این رخداد امنیتی که در مهرماه ۱۴۰۳ (اکتبر ۲۰۲۴) علنی شد، بار دیگر ضعف‌های ساختاری در مدیریت دسترسی‌های شخص ثالث به پایگاه‌های داده ملی را برجسته کرده است.
مکانیزم نفوذ: سوءاستفاده از دسترسی‌های قانونی (Abuse of Privilege)
برخلاف حملات سایبری پیچیده که بر پایه تزریق کد (SQL Injection) یا حملات منع سرویس (DDoS) استوار هستند، این نشت داده از طریق «دسترسی‌های قانونی» (Legal Access) صورت گرفته است. یک شرکت کوچک دانمارکی که به دلیل ماهیت فعالیت‌های خود، مجوز دسترسی به APIهای سیستم CPR را داشت، به عنوان نقطه ورود مورد سوءاستفاده قرار گرفت. مهاجمان با بهره‌برداری از دسترسی‌های اعطا شده به این شرکت، موفق شدند بیش از ۱۴ میلیون استعلام موفق را در بازه زمانی ۱۰ روزه ثبت کنند. این حجم از تراکنش‌ها نشان‌دهنده شکست سیستم‌های پایش و تشخیص ناهنجاری (Anomaly Detection) در سطوح زیرساختی این کشور است.
مقیاس نشت: ۸.۸ میلیون رکورد هویتی
سیستم CPR دانمارک، ستون فقرات هویت دیجیتال و فیزیکی شهروندان این کشور است. اطلاعات به سرقت رفته شامل نام، آدرس‌های سکونت و شماره‌های ملی منحصر‌به‌فرد افراد است. با توجه به اینکه جمعیت کل دانمارک حدود ۶ میلیون نفر است، تعداد ۸.۸ میلیون رکورد فاش شده به وضوح نشان می‌دهد که داده‌های تاریخی و افراد غیرمقیم نیز در میان داده‌های نشت یافته وجود دارند. این موضوع دامنه بحران را از یک نقص امنیتی ساده به یک چالش بزرگ برای امنیت ملی و حریم خصوصی شهروندان تبدیل کرده است.
تحلیل معماری دسترسی و مسئولیت‌پذیری
از منظر امنیت زیرساخت، این حادثه یک «شکست در کنترل دسترسی مبتنی بر نقش» (RBAC) محسوب می‌شود. وقتی به یک شرکت خصوصی، دسترسی مستقیم به حساس‌ترین دیتابیس ملی اعطا می‌شود، باید مکانیزم‌های سخت‌گیرانه‌ای برای محدود کردن نرخ درخواست‌ها (Rate Limiting) و مانیتورینگ بلادرنگ ترافیک وجود داشته باشد. در این پرونده، تنها زمانی این نشت شناسایی شد که یک صورت‌حساب مالی غیرعادی و حجم بالای تراکنش‌های ارسالی توسط شرکت مذکور، زنگ خطر را برای مدیران سیستم CPR به صدا درآورد. این تأخیر در شناسایی، نشان‌دهنده فقدان سیستم‌های هشداردهنده پیش‌دستانه (Proactive Alerting) در زمان بروز فعالیت‌های غیرمعمول است.
مشخصات فنی و ابعاد حادثه
- نوع سیستم آسیب‌دیده: Central Person Register (CPR) – سیستم مدیریت هویت ملی
- حجم داده‌های استخراج شده: حدود ۸.۸ میلیون رکورد شخصی
- تعداد استعلام‌ها: بیش از ۱۴ میلیون درخواست طی ۱۰ روز
- علت ریشه‌ای: سوءاستفاده از پروتکل‌های دسترسی مجاز (Legal API Misuse)
- وضعیت کنونی: تعلیق دسترسی شرکت متخلف و تحقیقات پلیس جنایی دانمارک
نتیجه‌گیری؛ لزوم بازنگری در مدل‌های اعتماد ابری
این نشت اطلاعاتی در دانمارک زنگ خطری برای تمام دولت‌هایی است که خدمات الکترونیک خود را به سمت برون‌سپاری دسترسی‌های دیتابیس می‌برند. مدل «اعتماد مطلق» به شرکای تجاری (Third-party trust) دیگر در دنیای امروز کارآمد نیست. پیاده‌سازی پروتکل‌های امنیت «صفر-اعتماد» (Zero Trust) و نظارت دقیق بر نحوه مصرف منابع API، تنها راه پیشگیری از تکرار چنین فجایعی است. اکنون تمرکز وزارت دیجیتال‌سازی دانمارک بر بازنگری در مجوزهای صادر شده و ارتقای امنیت لایه‌های دسترسی است تا از نشت بیشتر اطلاعات در آینده جلوگیری شود.
