デンマークの人口登録システム「CPR」で、約880万人分の個人情報に不正アクセスが発生しました。IT企業Pays ApSの正規アクセス権限が悪用され、氏名・住所・個人識別番号などが閲覧可能な状態となり、約1400万回の検索が行われたと報じられています。原因として、元従業員に関連する漏洩パスワード「123456」の悪用が指摘されています。デンマークの住民登録情報を持つ人に影響する事件であり、個人情報を管理する企業にとっても、認証強化と異常アクセス監視の重要性を示す事例です。

デンマークのCPRで発生した個人情報不正アクセスの概要

デンマークの人口登録システム「CPR」を管理する当局は、深刻なセキュリティインシデントを確認したと発表しました。

CPRは、デンマークの住民登録情報を管理するシステムです。CPR番号は個人を識別するために使用される番号で、氏名や住所などとともに重要な個人情報に該当します。

今回の事件では、デンマーク企業に付与されていた正規の検索権限が第三者によって悪用され、登録者の個人情報に不正アクセスが行われました。

報道によると、攻撃者は21日間にわたりアクセス可能な状態にあり、約1400万回の検索が行われました。不審な活動は9月20日に停止したとみられ、アクセス権限は10月2日に遮断されています。

項目	確認・報道されている内容
対象システム	デンマークの人口登録システム「CPR」
影響規模	約880万人分の登録情報
内訳	生存者約550万人、死亡者約330万人
対象情報	氏名、住所、CPR番号、その他の登録情報
悪用されたアクセス経路	IT企業Pays ApSに付与された正規のCPR検索権限
初期アクセスに関する報道	元従業員に関連する漏洩パスワード「123456」を使用
不正アクセス可能だった期間	21日間
検索回数	約1400万回
不審な活動の停止	9月20日とみられる
アクセス遮断	10月2日
発覚のきっかけ	大量の検索に伴う通常より高額な請求

Politikenの報道では、不正な検索で取得されたデータの対象は、生存者約550万人と死亡者約330万人に及ぶとされています。

ただし、約1400万回という検索回数は、1400万人の異なる人物の情報が取得されたことを意味するものではありません。また、検索された情報のすべてが外部で公開されたことまで確認されたわけではありません。

原因は漏洩パスワード「123456」の悪用か

今回の事件で特に注目されているのが、極めて単純なパスワードを通じて機密性の高い住民登録情報へアクセスできたとされる点です。

TV 2によると、攻撃者はデンマークのオーデンセに拠点を置くIT企業「Pays ApS」の正規アクセス権限を悪用したと報じられています。

Pays ApSは、住所情報の更新、死亡者の識別、住所変更情報の確認などに利用するデータ更新サービスや「CPR cleansing」と呼ばれるサービスを提供しています。

これらのサービスでは、顧客が保有するデータとCPRの登録情報を照合するため、同社には正規の検索権限が付与されていました。

しかし、その正規のアクセス経路が攻撃者に利用されたとされています。

漏洩した元従業員の認証情報が悪用されたとの報道

TV 2は、Pays ApSの元従業員に関連するパスワードが、過去の大規模なデータ漏洩に含まれていたと報じています。

そのパスワードは「123456」だったとされ、TV 2は独自調査とも整合する初期アクセスの経緯として伝えています。

「123456」は推測されやすい文字列であり、機密情報を扱うアカウントに使用することは適切ではありません。

今回の報道が示す問題は、単純なパスワードの存在だけではありません。漏洩済みの認証情報を使って、正規利用者と同じアクセス経路から大量の機密情報を検索できた可能性が重要です。

なお、取得テキストでは、この認証情報が事件当時にどのような管理状態だったか、また多要素認証がどのように設定されていたかまでは説明されていません。

約1400万回の異常検索が高額請求によって発覚

今回の事件では、不正アクセスそのものに加え、大量の検索を早期に検知できなかったことが被害を拡大させた要因として指摘されています。

攻撃者は21日間アクセス可能な状態にあり、その間に約1400万回の検索が実行されたと報じられています。

大量の検索は通常の利用状況と比べて異常な兆候となり得ますが、今回の事件では、通常より大幅に高額な請求が発生したことが問題の発覚につながりました。

つまり、アクセスの異常そのものよりも、検索回数に応じた請求額の異変が先に注目された形です。

正規のIDやパスワードによるアクセスであっても、利用回数や操作パターンが通常と異なる場合は、不正利用を疑う必要があります。

特に、住民情報や顧客データなどを大量検索できるシステムでは、ログインの成否を監視するだけでは十分ではありません。

認証後にどのような検索が行われたのか、短時間に何件の情報へアクセスしたのかを監視することが重要です。

影響を受ける個人情報と想定されるリスク

今回、不正アクセスの対象となった情報には、氏名、住所、CPR番号、その他の登録情報が含まれています。

CPR番号はデンマークの個人識別番号であるため、氏名や住所と組み合わせられることで個人を特定しやすくなる可能性があります。

特に注意したいのは、個人情報を使ったフィッシング詐欺や、正規の機関・企業を装う連絡です。

攻撃者が氏名や住所などを把握している場合、受信者本人に関係する内容を盛り込んだメッセージを作成できる可能性があります。

例えば、本人の氏名を記載したメールや、登録情報の確認を求める偽の通知などには注意が必要です。

ただし、これらは個人情報の不正取得に伴う一般的なリスクであり、今回の事件で具体的なフィッシング被害が発生したと確認されたものではありません。

また、影響人数には死亡者約330万人も含まれています。生存者と死亡者では想定される悪用方法が異なりますが、いずれも登録情報が不正に検索されたと報じられています。

個人情報が影響対象に含まれる可能性がある場合の対処方法

デンマークのCPRに情報が登録されている人は、事件に関する公式発表を確認し、不審な連絡への警戒を強めることが推奨されています。

1. CPR管理当局などの公式情報を確認する

最初に確認したいのは、CPR管理当局や関係機関による事件の発表です。

影響範囲、今後の対応、対象者への案内などに更新がないかを確認してください。

報道やSNSの情報だけで判断せず、公式な情報を優先することが重要です。

2. 氏名や住所が書かれた不審なメッセージを信用しない

自分の氏名や住所が正しく記載されているからといって、そのメッセージが正規の送信元から届いたとは限りません。

個人情報を利用して信用させ、偽サイトへの誘導や追加情報の入力を求める詐欺に注意してください。

メールやSMSなどに記載されたリンクを開く前に、送信元や案内内容を確認することが推奨されます。

3. 不審な連絡は別の手段で真偽を確認する

行政機関や企業を名乗る連絡を受けた場合は、メッセージ内のリンクからではなく、公式サイトなどの信頼できる窓口を使って確認してください。

特に、個人識別番号、パスワード、認証コードなどの入力を求める連絡には慎重に対応する必要があります。

Malwarebytesは、疑わしいリンクやメッセージ、スクリーンショットの確認を支援する「Malwarebytes Scam Guard」も案内しています。同機能はMalwarebytes Premium SecurityやiOS・Android向けアプリで提供されると説明されていますが、判定結果だけを過信せず、公式窓口による確認を優先してください。