A palavra-passe que abriu 8,8 milhões de identidades dinamarquesas era 123456

Todas as listas de piores palavras-passe alguma vez publicadas colocam 123456 no topo ou muito perto dele. Na semana passada percebeu-se que era a chave do registo central de pessoas da Dinamarca.

O registo, conhecido por CPR, guarda o nome, a morada e o número de identidade de dez dígitos de todos os habitantes do país. Não é público, mas há empresas que podem obter acesso legal para consultar fichas. Uma delas era a Pays ApS, uma pequena firma de Odense que em julho deste ano tinha dois funcionários. A imprensa dinamarquesa refere que pelo menos três contas da Pays usavam 123456, incluindo uma conta de administrador, e que essas credenciais pertenciam a um antigo funcionário e já tinham aparecido numa fuga de dados anterior. Alguém entrou e começou a fazer consultas automatizadas. Cerca de 14 milhões. Ninguém deu por nada até chegar uma fatura invulgarmente alta e um funcionário ir verificar, a 2 de outubro.

O espólio abrange cerca de 8,8 milhões de pessoas, mais ou menos 5,5 milhões vivas e 3,3 milhões falecidas, ou seja quase todo o país. A ministra da Digitalização, Christina Egelund, admitiu que as medidas de segurança não eram suficientes e mandou rever todo o sistema. O veredicto de um professor dinamarquês de segurança sobre aquela palavra-passe foi "desesperante", e é difícil contrariá-lo. Não se moveu dinheiro, mas nomes e moradas verificadas são exatamente o que faz uma mensagem fraudulenta resultar, por isso os dinamarqueses devem contar com correio convincente durante muito tempo.

A lição é mais antiga do que a falha. Uma única palavra-passe fraca ou reaproveitada numa conta que ninguém vigia chega mais longe do que qualquer outra coisa na rede. A verificação de privacidade e contas do Tendvane analisa como iniciam sessão as contas do seu próprio PC e diz-lhe quais continuam assentes apenas numa palavra-passe.