Mật khẩu '123456' là nguyên nhân vụ rò rỉ dữ liệu 8,8 triệu người dân Đan Mạch

Vụ rò rỉ dữ liệu nghiêm trọng tại Đan Mạch đang khiến giới bảo mật toàn cầu phải giật mình khi nguyên nhân được cho là xuất phát từ một mật khẩu quá đơn giản: "123456".

Chuyện gì đã xảy ra?

Theo báo Politiken, một đối tượng nhận trách nhiệm về vụ xâm nhập Cơ quan Đăng ký Dân sự Trung ương (CPR) của Đan Mạch cho biết họ đã truy cập được vào hệ thống thông qua tài khoản của một công ty IT. Tài khoản này được bảo vệ bằng mật khẩu "123456" — một trong những mật khẩu yếu và phổ biến nhất thế giới.

Đối tượng này khẳng định không có ý định bán hoặc rò rỉ dữ liệu. Tuy nhiên, tờ báo cho biết ít nhất ba tài khoản của công ty, trong đó có cả tài khoản quản trị viên, đều dùng chung một mật khẩu nguy hiểm như vậy.

Đây là một trong những ví dụ rõ ràng nhất cho thấy mật khẩu yếu vẫn là lỗ hổng chết người trong hệ thống bảo mật hiện đại.

Quy mô vụ việc

Ban quản lý CPR xác nhận vụ rò rỉ vào ngày 5/10, ảnh hưởng đến thông tin của 8,8 triệu người. Cơ sở dữ liệu này chứa khoảng 11 triệu hồ sơ, bao gồm cả người đã qua đời và người đã chuyển ra nước ngoài.

Công ty bị nghi liên quan là Pays ApS có trụ sở tại Funen. Giám đốc điều hành Sophie Laursen xác nhận vào ngày 9/10 rằng quyền truy cập của công ty đã bị lợi dụng. Website của Pays hiện đã bị gỡ xuống và công ty chưa phản hồi yêu cầu bình luận về cáo buộc mật khẩu.

Pays được cấp quyền truy cập hệ thống CPR để cung cấp các dịch vụ như xác thực hồ sơ khách hàng doanh nghiệp.

Diễn biến cuộc tấn công

Theo tài liệu mà đài TV 2 thu thập được:

• Kẻ tấn công truy cập hệ thống CPR vào ngày 10/9
• Thực hiện 14 triệu lượt tìm kiếm tự động từ đó đến ngày 20/9
• Vụ xâm nhập chỉ được phát hiện vào ngày 2/10 — tức 12 ngày sau lượt tìm kiếm cuối cùng được ghi nhận

Mikkel Leihardt, giám đốc Bộ Giáo dục Đại học và Khoa học, cho biết cuộc tấn công được phát hiện sau khi một nhân viên bộ phận nhận được hóa đơn cho thấy hoạt động bất thường từ Pays.

Cơ quan bảo vệ dữ liệu Đan Mạch Datatilsynet đã được thông báo vào ngày 4/10, và chính phủ công bố vụ việc vào ngày hôm sau.

Bài học cho Việt Nam và thế giới

Sự việc tại Đan Mạch — một quốc gia vốn được đánh giá cao về chuyển đổi số — là lời cảnh tỉnh cho mọi tổ chức, bao gồm cả các doanh nghiệp Việt Nam:

• Không bao giờ dùng mật khẩu mặc định hoặc quá đơn giản cho tài khoản có quyền truy cập hệ thống quan trọng
• Áp dụng xác thực đa yếu tố (MFA) cho tất cả tài khoản quản trị
• Giám sát hoạt động bất thường theo thời gian thực, thay vì chờ đến khi nhận hóa đơn mới phát hiện
• Nguyên tắc đặc quyền tối thiểu — chỉ cấp quyền truy cập khi thực sự cần thiết

Với các doanh nghiệp Việt Nam đang trong quá trình chuyển đổi số, việc đầu tư vào bảo mật cơ bản không chỉ là yêu cầu pháp lý mà còn là trách nhiệm với khách hàng và người dùng.

Mật khẩu "123456" đã tồn tại trong danh sách những mật khẩu tệ nhất suốt hơn một thập kỷ. Việc nó vẫn xuất hiện trong một vụ rò rỉ quy mô quốc gia cho thấy nhiều tổ chức vẫn chưa thực sự coi trọng bảo mật cơ bản.