Le mot de passe qui a ouvert 8,8 millions de fiches d'identité danoises était 123456

Toutes les listes des pires mots de passe jamais publiées placent 123456 en tête ou presque. La semaine dernière, il s'est avéré que c'était la clé du registre central des personnes du Danemark.

Ce registre, appelé CPR, contient le nom, l'adresse et le numéro d'identité à dix chiffres de chaque habitant du pays. Il n'est pas public, mais des entreprises peuvent obtenir un accès légal pour y consulter des fiches. L'une d'elles était Pays ApS, une petite structure d'Odense qui, en juillet dernier, employait deux personnes. La presse danoise indique qu'au moins trois comptes de Pays utilisaient 123456, dont un compte administrateur, et que ces identifiants appartenaient à un ancien salarié et figuraient déjà dans une fuite de données antérieure. Quelqu'un s'est connecté et a lancé des consultations automatisées. Environ 14 millions. Personne n'a rien remarqué jusqu'à l'arrivée d'une facture anormalement élevée et à la vérification d'un salarié, le 2 octobre.

Le butin concerne environ 8,8 millions de personnes, dont à peu près 5,5 millions de vivants et 3,3 millions de défunts, soit l'essentiel du pays. La ministre de la numérisation Christina Egelund a reconnu que les mesures de sécurité n'étaient pas suffisantes et ordonné une revue complète du système. Le verdict d'un professeur danois de sécurité sur ce mot de passe fut "désespérant", et il est difficile de le contredire. Aucun argent n'a bougé, mais des noms et des adresses vérifiées sont exactement ce qui rend un message frauduleux crédible : les Danois peuvent s'attendre à du courrier convaincant pendant longtemps.

La leçon est plus ancienne que la fuite. Un seul mot de passe faible ou recyclé sur un compte que personne ne surveille va plus loin que n'importe quoi d'autre sur le réseau. Le contrôle confidentialité et comptes de Tendvane examine la façon dont les comptes de votre propre PC se connectent et vous indique lesquels reposent encore sur un simple mot de passe.