كشفت تفاصيل جديدة عن اختراق السجل المركزي للأشخاص في الدنمارك أن كلمة مرور شديدة الضعف، هي «123456»، ربما كانت إحدى نقاط الدخول إلى بيانات نحو 8.8 ملايين شخص، بعدما استُخدمت حسابات تابعة لشركة تكنولوجيا معلومات للوصول إلى النظام الحكومي وإساءة استخدام صلاحياته.
وذكرت صحيفة «بوليتيكن» الدنماركية أن شخصاً ادعى مسؤوليته عن الاختراق قال إنه تمكن من الدخول إلى النظام عبر حساب تابع لشركة دنماركية، كان محمياً بكلمة المرور «123456».
وأفادت الصحيفة بأن ثلاثة حسابات على الأقل داخل الشركة، من بينها حساب إداري، استخدمت كلمة المرور نفسها، ما أثار تساؤلات بشأن إجراءات حماية الحسابات التي تتمتع بصلاحيات الوصول إلى قواعد البيانات الحساسة.
وأكدت إدارة السجل المركزي للأشخاص في الدنمارك وقوع الاختراق في 5 أكتوبر 2026، موضحة أن بيانات تخص 8.8 ملايين شخص تعرضت للوصول غير المصرح به. ويضم السجل نحو 11 مليون سجل، تشمل بيانات أشخاص متوفين وآخرين غادروا البلاد، وهو ما يعني أن نطاق المعلومات المتأثرة يتجاوز عدد السكان المقيمين في الدنمارك.
وبحسب تقرير نشرته صحيفة «ذا ريجستر» البريطانية، فإن السلطات الدنماركية لم تسمِّ الشركة التي استُخدمت صلاحياتها في البداية، لكن صوفي لورسن، المديرة التنفيذية لشركة «بايس» (Pays ApS)، أكدت في 9 أكتوبر أن صلاحيات الشركة للوصول إلى النظام تعرضت للاستغلال. وتتخذ الشركة من جزيرة فونين الدنماركية مقراً لها، وكانت مخولة بالوصول إلى السجل لتقديم خدمات من بينها التحقق من بيانات العملاء من الشركات.
وتشير الوثائق التي حصلت عليها هيئة البث الدنماركية «تي في 2» إلى أن المهاجم تمكن من الوصول إلى نظام السجل في 10 سبتمبر، ونفذ نحو 14 مليون عملية بحث آلية خلال الفترة الممتدة حتى 20 سبتمبر. ولم يُكتشف الاختراق إلا في 2 أكتوبر، أي بعد 12 يوماً من آخر عمليات البحث المسجلة.
وجرى الانتباه إلى النشاط غير المعتاد بعدما لاحظ أحد موظفي إحدى الجهات الحكومية فاتورة تشير إلى ارتفاع كبير في حجم النشاط المرتبط بشركة «بايس». وأوضح ميكيل ليهارت، مدير وزارة التعليم العالي والعلوم الدنماركية، خلال مؤتمر صحفي، أن هذه الفاتورة أسهمت في كشف الواقعة.
وأُخطرت هيئة حماية البيانات الدنماركية بالحادث في 4 أكتوبر، قبل أن تعلن الحكومة عنه في اليوم التالي. وتكشف هذه التفاصيل أن الاختراق لم يكن مجرد محاولة عابرة للدخول إلى نظام محمي، بل تضمن استخدام صلاحيات وصول قائمة بالفعل وتنفيذ ملايين عمليات البحث قبل اكتشاف النشاط.
وقال الشخص الذي ادعى مسؤوليته عن الاختراق لصحيفة «بوليتيكن» إنه لم يكن ينوي بيع البيانات أو تسريبها. لكن هذا الادعاء لا يغيّر من خطورة الوصول إلى معلومات بهذا الحجم، ولا يضمن عدم استخدامها لاحقاً بطرق غير مشروعة.
وتسلط الواقعة الضوء على المخاطر التي تنشأ عندما تُمنح شركات خاصة صلاحيات الوصول إلى قواعد بيانات حكومية واسعة، من دون حماية كافية للحسابات ومراقبة فعالة للاستخدام. فكلمات المرور الشائعة، مثل «123456»، يسهل تخمينها، ولا توفر مستوى مناسباً من الحماية، خصوصاً للحسابات الإدارية أو الحسابات المرتبطة بأنظمة تحتوي على بيانات شخصية حساسة.
كما تبرز أهمية استخدام كلمات مرور قوية وفريدة لكل حساب، وتفعيل المصادقة متعددة العوامل، وتقييد الصلاحيات وفقاً للحاجة الفعلية، إلى جانب مراقبة أنماط الاستخدام لرصد الارتفاع غير المعتاد في الطلبات. وتوضح ملايين عمليات البحث التي نُفذت قبل اكتشاف الاختراق أن سرعة رصد السلوك غير الطبيعي لا تقل أهمية عن منع الدخول غير المصرح به من البداية.
ولا تشير المعلومات المنشورة إلى أن السلطات أكدت تسريب البيانات أو بيعها، كما لم يثبت أن كلمة المرور الضعيفة كانت السبب الوحيد للاختراق. لكن القضية تطرح سؤالاً أساسياً حول مدى كفاية الضوابط الأمنية لدى الجهات التي تتعامل مع بيانات ملايين الأشخاص، وحول قدرة أنظمة المراقبة على اكتشاف إساءة استخدام الصلاحيات قبل اتساع نطاق الضرر.