La password che ha aperto 8,8 milioni di identità danesi era 123456

Ogni classifica delle peggiori password mai pubblicata mette 123456 in cima o quasi. La settimana scorsa si è scoperto che era la chiave del registro centrale delle persone della Danimarca.

Il registro, chiamato CPR, contiene nome, indirizzo e numero di identità a dieci cifre di ogni abitante del paese. Non è pubblico, ma alcune aziende possono ottenere un accesso legale per consultare le schede. Una di queste era Pays ApS, una piccola realtà di Odense che a luglio di quest'anno aveva due dipendenti. La stampa danese riferisce che almeno tre account di Pays usavano 123456, incluso un account amministratore, e che quelle credenziali appartenevano a un ex dipendente ed erano già comparse in una fuga di dati precedente. Qualcuno è entrato e ha avviato ricerche automatiche. Circa 14 milioni. Nessuno si è accorto di nulla finché non è arrivata una fattura stranamente alta e un dipendente è andato a controllare, il 2 ottobre.

Il bottino riguarda circa 8,8 milioni di persone, all'incirca 5,5 milioni di vive e 3,3 milioni di defunte, cioè quasi tutto il paese. La ministra della digitalizzazione Christina Egelund ha ammesso che le misure di sicurezza non erano adeguate e ha ordinato una revisione dell'intero sistema. Il giudizio di un professore danese di sicurezza su quella password è stato "disperante", ed è difficile dargli torto. Non si è mosso denaro, ma nomi e indirizzi verificati sono esattamente ciò che rende credibile un messaggio truffaldino: i danesi devono aspettarsi posta convincente ancora a lungo.

La lezione è più vecchia della violazione. Una sola password debole o riciclata su un account che nessuno controlla arriva più lontano di qualsiasi altra cosa in rete. Il controllo privacy e account di Tendvane esamina come accedono gli account del vostro PC e vi dice quali poggiano ancora su una semplice password.