Rò rỉ dữ liệu tại Cơ quan Đăng ký Dân sự Trung ương Đan Mạch ảnh hưởng 8,8 triệu người

Cơ quan Đăng ký Dân sự Trung ương Đan Mạch (CPR) đang tiến hành thông báo cho khoảng 8,8 triệu người rằng thông tin cá nhân của họ đã bị đánh cắp trong một vụ rò rỉ dữ liệu. Đây được xem là một trong những sự cố an ninh mạng nghiêm trọng nhất trong lịch sử quốc gia Bắc Âu này.

Rò rỉ dữ liệu

Hệ thống CPR là gì?

Được thành lập từ năm 1968, CPR là hệ thống đăng ký hộ tịch quốc gia của Đan Mạch, lưu trữ thông tin của khoảng 11 triệu người, bao gồm cả cư dân, người đã di cư và người đã qua đời. Mỗi công dân Đan Mạch được cấp một mã số CPR duy nhất, tương đương với số An sinh Xã hội tại Hoa Kỳ, đóng vai trò thiết yếu trong mọi giao dịch hành chính, y tế, ngân hàng và thuế.

Vào thứ Hai vừa qua, CPR đã công bố rằng tin tặc đã khai thác quyền truy cập hợp pháp của một công ty Đan Mạch vào hệ thống để trích xuất thông tin cá nhân của người dân. Theo quy định pháp luật Đan Mạch, các doanh nghiệp tư nhân có lợi ích chính đáng được phép truy cập CPR để tra cứu thông tin về các cá nhân cụ thể. Doanh nghiệp cũng có thể yêu cầu thông tin theo Luật Bảo vệ Dữ liệu và Quy định Bảo vệ Dữ liệu của quốc gia này.

Phát hiện sự cố và dữ liệu bị ảnh hưởng

Sự việc được phát hiện vào thứ Sáu, khi cơ quan đăng ký dân số nhận được thông báo về hành vi bất thường trong hệ thống diễn ra trong suốt tháng Chín. Qua quá trình điều tra kéo dài suốt cuối tuần, tổ chức này xác định rằng tin tặc đã truy cập được vào tên, địa chỉ và mã số CPR của khoảng 8,8 triệu cá nhân đã đăng ký, bao gồm cả người còn sống lẫn người đã qua đời.

Cơ quan đăng ký quốc gia cho biết vụ rò rỉ dữ liệu này không ảnh hưởng đến những cá nhân đã chọn đăng ký tùy chọn bảo vệ tên và địa chỉ.

Điều đáng chú ý là các nạn nhân không chỉ là người đang sinh sống tại Đan Mạch. Những người đã qua đời cũng nằm trong danh sách bị ảnh hưởng, bởi thông tin hộ tịch của họ vẫn được lưu trữ trong hệ thống quốc gia. Điều này đặt ra những lo ngại nghiêm trọng về khả năng bị lợi dụng thông tin để thực hiện các hành vi gian lận danh tính trong tương lai.

An ninh mạng

Biện pháp ứng phó

Ngay sau khi phát hiện sự cố, CPR đã chấm dứt ngay lập tức quyền truy cập của công ty tư nhân liên quan, đồng thời thông báo cho Cơ quan Bảo vệ Dữ liệu Đan Mạch và khởi động cuộc điều tra phối hợp với cảnh sát cùng các cơ quan chức năng khác.

Cơ quan đăng ký dân số cũng kêu gọi người dân cảnh giác với các liên lạc không mong muốn yêu cầu cung cấp thông tin cá nhân, mật khẩu và các dữ liệu nhạy cảm khác. Đây là chiêu trò phổ biến của tội phạm mạng, đặc biệt trong giai đoạn hậu rò rỉ dữ liệu khi kẻ xấu có trong tay thông tin nền tảng để thực hiện các cuộc tấn công lừa đảo có mục tiêu.

CPR cho biết sẽ rà soát lại các chính sách bảo mật và tăng cường biện pháp bảo vệ nhằm ngăn chặn các sự cố tương tự trong tương lai. Tuy nhiên, cơ quan này cũng thừa nhận rằng họ không thể xác định danh tính của nhóm tấn công đứng sau vụ việc.

Bài học cho các hệ thống dữ liệu quốc gia

Vụ rò rỉ tại CPR là lời cảnh tỉnh về rủi ro đến từ chính những quyền truy cập hợp pháp được cấp cho các bên thứ ba. Khi các tổ chức tư nhân được cấp quyền tra cứu dữ liệu công dân, mỗi điểm truy cập đều trở thành một lỗ hổng tiềm tàng nếu không được giám sát chặt chẽ.

Bài học này đặc biệt có ý nghĩa với Việt Nam trong bối cảnh quá trình chuyển đổi số quốc gia đang diễn ra mạnh mẽ, với các cơ sở dữ liệu quốc gia về dân cư, bảo hiểm và y tế ngày càng được kết nối với nhiều hệ thống của doanh nghiệp và tổ chức. Việc kiểm soát quyền truy cập, giám sát hành vi bất thường theo thời gian thực, và nguyên tắc đặc quyền tối thiểu (least privilege) cần được xem là ưu tiên hàng đầu.

Sự cố cũng cho thấy tầm quan trọng của cơ chế phát hiện sớm — trong trường hợp này, hành vi bất thường chỉ được phát hiện sau khi đã diễn ra suốt một tháng, cho thấy hệ thống giám sát còn nhiều điểm mù cần khắc phục. Đối với các quốc gia đang xây dựng hạ tầng dữ liệu số, việc đầu tư vào khả năng phát hiện xâm nhập theo thời gian thực là yếu tố không thể bỏ qua.