デンマークで880万人分の個人情報流出、管理者パスワードは「123456」
デンマークで国民の医療・行政情報を含む880万人分が流出。外部企業の管理者アカウントに脆弱なパスワードが使われていた。
何が起きたか
デンマークの国民健康・行政情報を扱うシステムで、約880万人分の個人情報が不正アクセスを受けた。現地報道によると、外部企業が保有していた管理者アカウントのパスワードが「123456」に設定されており、ハッカーは「侵入は難しくなかった」と説明している。約1,400万回の照会が請求書の記録から発覚したとされる。
なぜ起きたか
外部委託先の管理者アカウントに推測されやすいパスワードが使われ、多要素認証や接続元の制限といった追加の防御が機能していなかった可能性がある。委託先の権限管理が発注元の監査の外に置かれていたことが、侵入を容易にしたとみられる。
影響範囲
対象はデンマークの国民登録制度に紐づく約880万人分の情報で、医療・行政サービスを受ける住民と、そのデータを扱う委託事業者に影響が及ぶ。同種の委託構造を持つ他国の行政システムにも同様のリスクがある。
どうなりそうか
デンマーク当局は影響範囲の特定と委託先の権限見直しを進めるとみられる。パスワード運用や多要素認証の義務化など、行政データを扱う事業者への規制強化につながる可能性がある。
意識したほうがいいこと
行政サービスや医療機関から届く通知に注意し、不審な連絡や身に覚えのない請求がないか確認する。同じパスワードを使い回している場合は、主要なアカウントで変更と二段階認証の設定を進める。
社会への影響
国民登録制度のような基盤データが単一の脆弱な認証で流出したことで、行政のデジタル化における委託先管理と認証設計の信頼性が問われる。個人情報保護の制度設計を見直す議論が各国で強まる可能性がある。