Одна из самых распространённых и ненадёжных комбинаций цифр в мире — «123456» — предположительно помогла злоумышленнику получить доступ к персональным данным 8,8 миллиона человек в Дании. Уязвимость обнаружилась в IT-компании, которая имела законный доступ к государственной базе данных населения. Этот случай наглядно показывает, насколько серьёзными могут быть последствия элементарных ошибок в цифровой безопасности.
Как произошла утечка данных
В сентябре 2026 года в Дании обнаружили масштабную утечку информации из Центрального регистра населения (CPR, Det Centrale Personregister). В базе содержатся персональные сведения о жителях страны, в том числе об их именах, адресах и идентификационных номерах.
По информации датских СМИ, злоумышленник сумел проникнуть в инфраструктуру частной компании, имевшей разрешённый доступ к государственной системе. По его утверждению, как минимум три учётные записи сотрудников компании, включая административную, были защищены паролем «123456».
Речь идёт о компании Pays ApS, которая использовала доступ к CPR для оказания коммерческих услуг, в частности проверки данных клиентов-предпринимателей. 9 октября управляющая директор компании Софи Лаурсен (Sophie Laursen) подтвердила, что доступ к системе был использован злоумышленниками. После инцидента сайт компании перестал работать.
Администрация государственного регистра подтвердила факт утечки. Под угрозой оказались сведения примерно 8,8 миллиона человек — как ныне живущих, так и умерших.
При этом важно различать подтверждённые обстоятельства инцидента и заявления самого злоумышленника: не все детали проникновения и дальнейшей судьбы похищенных данных получили независимое подтверждение.
Как обнаружили атаку
Необычную активность выявили благодаря внимательности сотрудника другого государственного ведомства — Министерства высшего образования и науки Дании, отвечающего в том числе за вопросы цифровизации.
Сотрудник заметил счёт, из которого следовало, что Pays ApS выполняла значительно больше запросов к базе данных, чем обычно. Проверка этой аномалии помогла обнаружить подозрительную активность.
Согласно документам, изученным датским телеканалом TV 2, в период с 10 по 20 сентября злоумышленник выполнил около 14 миллионов автоматизированных запросов к CPR.
Такой масштаб операций показывает, что речь шла не просто о единичном просмотре чужих сведений. Автоматизация позволяла систематически обращаться к базе и извлекать большие объёмы информации.
По словам предполагаемого хакера, он не собирается продавать украденные сведения или публиковать их в интернете. Однако это заявление пока следует воспринимать именно как утверждение самого злоумышленника, а не как гарантию безопасности пострадавших.
Почему пароль «123456» до сих пор опасен
Казалось бы, о необходимости придумывать надёжные пароли говорят уже много лет. Тем не менее простые последовательности цифр продолжают занимать верхние строчки рейтингов самых распространённых паролей.
По данным исследования Comparitech, опубликованного в 2025 году, специалисты проанализировали более двух миллиардов паролей из утечек данных. Комбинация «123456» оказалась самой популярной: она встретилась примерно 7,6 миллиона раза.
На втором и третьем местах расположились «12345678» и «123456789». Все три варианта легко предугадать, поэтому они практически не создают препятствий для автоматизированного подбора.
В случае с датской компанией проблема оказалась особенно серьёзной: слабые пароли, по утверждению злоумышленника, использовались не только для рядовых учётных записей, но и для административной. А такая учётная запись может предоставлять расширенные возможности управления системами и данными.
Это напоминает важное правило информационной безопасности: защищённость системы определяется не только сложностью её программного обеспечения, но и тем, насколько грамотно организован доступ к ней.
Почему одной сложной комбинации недостаточно
Даже если сотрудник использует длинный и непредсказуемый пароль, это не гарантирует полной безопасности. Компании, работающие с чувствительными данными, должны выстраивать многоуровневую защиту.
Ключевые меры включают:
- Уникальные пароли. Один и тот же пароль не должен использоваться для разных сервисов и рабочих систем.
- Многофакторную аутентификацию. При входе требуется дополнительное подтверждение личности, например одноразовый код или аппаратный ключ.
- Ограничение прав доступа. Сотрудники должны иметь доступ только к тем данным и функциям, которые необходимы им для работы.
- Мониторинг подозрительной активности. Необычно большое число запросов, попытки массовой выгрузки данных и другие отклонения должны автоматически привлекать внимание специалистов.
- Контроль со стороны организации. Политика безопасности должна не просто рекомендовать надёжные пароли, но и технически запрещать использование заведомо слабых комбинаций.
Последний пункт особенно важен. Если корпоративная система позволяет сотруднику установить пароль «123456», ответственность нельзя полностью перекладывать на самого пользователя. Работодатель также обязан внедрять механизмы, предотвращающие подобные ошибки.
Подобные случаи уже происходили
История с датским регистром — далеко не единственный пример того, как слабая защита может поставить под угрозу персональные данные.
В 2025 году исследователи обнаружили проблемы с безопасностью платформы McHire, использовавшейся для найма сотрудников McDonald's. В тестовой административной учётной записи применялись имя пользователя и пароль «123456». В сочетании с отдельной ошибкой контроля доступа это позволило исследователям получить доступ к персональной информации соискателей. Разработчик платформы устранил обнаруженные уязвимости после получения сообщения о проблеме.
Эти инциденты объединяет одна закономерность: даже крупные организации могут допускать ошибки, которые кажутся невероятно простыми. И если уязвимая учётная запись связана с системой, содержащей конфиденциальную информацию, последствия выходят далеко за пределы одного взломанного аккаунта.
Утечка в Дании демонстрирует, что кибербезопасность зависит не только от сложных технологий и дорогостоящих средств защиты. Иногда критической точкой становится пароль, который можно угадать за секунды.
Для обычного пользователя это повод проверить собственные привычки работы с паролями. Для организаций, имеющих доступ к государственным и коммерческим базам данных, — напоминание о том, что безопасность должна обеспечиваться на уровне всей инфраструктуры, а не оставаться исключительно ответственностью отдельных сотрудников.
