در واقعه‌ای بی‌سابقه در فضای سایبری شمال اروپا، اداره ثبت احوال مرکزی دانمارک (CPR) با یک نقض امنیتی گسترده مواجه شده است که طی آن، داده‌های حساس هویتی بیش از ۸.۸ میلیون نفر از جمله نام، آدرس و شماره‌های ملی در دسترس طرف‌های غیرمجاز قرار گرفت. این نشت داده که در مهرماه ۱۴۰۵ (اکتبر ۲۰۲۶) فاش شد، به دلیل حجم بالای رکوردهای افشا شده—که از جمعیت فعلی کشور دانمارک نیز فراتر می‌رود—پرسش‌های بنیادینی را درباره امنیت زیرساخت‌های احراز هویت دیجیتال مطرح کرده است.
ابعاد فنی و معماری نشت داده در CPR
بر اساس گزارش‌های رسمی، نشت داده از طریق سوءاستفاده از دسترسی‌های قانونی یک شرکت خصوصی کوچک به دیتابیس مرکزی CPR صورت گرفته است. طبق ماده ۳۸(۱) قانون سیستم ثبت احوال دانمارک، شرکت‌ها و نهادهای قانونی می‌توانند تحت شرایطی خاص و با رعایت پروتکل‌های دقیق GDPR، به داده‌های هویتی دسترسی یابند. با این حال، مهاجمان با بهره‌برداری از دسترسی قانونی این شرکت، موفق به استخراج حجمی از داده‌ها شده‌اند که عملاً شامل ۱۱ میلیون رکورد موجود در دیتابیس (شامل افراد فوت شده یا مهاجران) می‌شود.
نکته قابل توجه فنی در این نشت، این است که اگرچه جمعیت دانمارک حدود ۶ میلیون نفر است، اما دیتابیس CPR شامل اطلاعات هویتی ساکنان گرینلند و همچنین افرادی است که در گذشته در این کشور زندگی کرده‌اند. این پراکندگی داده‌ای در یک هسته مرکزی، مقیاس آسیب‌پذیری را به شدت افزایش داده است.
بحران شماره‌های ملی به مثابه رمز عبور
کارشناسان امنیت سایبری، از جمله یان کاستروپ (Jan Kaastrup)، بر این باورند که فلسفه طراحی سیستم CPR دانمارک دارای یک نقص ساختاری است: «درمان شماره‌های ملی به عنوان یک راز». این رویکرد که شماره هویتی را به عنوان کلید اصلی دسترسی به خدمات عمومی و بانکی قرار می‌دهد، در عصر دیجیتال منسوخ شده است. کاستروپ معتقد است که یک شماره ساده نباید به عنوان سند قطعی هویت پذیرفته شود.
جزئیات فنی واقعه:
- نوع حادثه: سوءاستفاده از دسترسی قانونی (Abuse of legitimate access).
- حجم داده‌های افشا شده: حدود ۸.۸ میلیون رکورد (شامل اسامی، آدرس و کدهای ملی).
- جامعه هدف: شهروندان دانمارک، ساکنان گرینلند و افراد مقیم خارج.
- وضعیت سیستم: دسترسی شرکت متخلف مسدود شده و تحقیقات پلیس با همکاری آژانس حفاظت از داده‌های دانمارک در جریان است.
- نکته حفاظتی: داده‌های افرادی که دارای «حفاظت آدرس و نام» (Name and address protection) بودند، در این نشت افشا نشده است.
واکاوی پیامدها و راهکارهای احتمالی
کریستینا ایگلوند، وزیر دیجیتالی‌سازی دانمارک، در اظهارات اخیر خود اعلام کرده است که موضوع جایگزینی شماره‌های CPR در حال بررسی است، هرچند به دلیل گستردگی نفوذ این شماره‌ها در تمامی لایه‌های زیرساختی دولت و بخش خصوصی، این کار چالش‌های اجرایی عظیمی دارد. این حادثه زنگ خطری برای کشورهای پیشرو در حوزه دولت الکترونیک است که به جای استفاده از سیستم‌های احراز هویت چندعاملی (MFA) یا توکن‌های رمزنگاری‌شده مدرن، همچنان بر اصالت‌سنجی مبتنی بر دیتابیس‌های استاتیک متکی هستند.
ضرورت بازنگری در مدل‌های اعتماد ابری
این واقعه نشان می‌دهد که حتی با وجود قوانین سخت‌گیرانه مانند GDPR، «اعتبار دسترسی» (Access Credential) می‌تواند ضعیف‌ترین حلقه زنجیره امنیت باشد. شرکت‌های کوچک که به دیتابیس‌های ملی متصل می‌شوند، معمولاً از استانداردهای امنیتی مشابه با سازمان‌های بزرگ برخوردار نیستند و این تفاوت سطح امنیتی، راه را برای نشت گسترده اطلاعات هموار می‌کند. برای جلوگیری از تکرار چنین رخدادهایی، پیشنهاد می‌شود دسترسی به دیتابیس‌های ملی به جای مدل‌های دسترسی مستقیم، به سمت مدل‌های پرس‌وجوی محدود (Limited Query API) با قابلیت ردیابی دقیق (Audit logging) حرکت کند.
