ช็อก! แฮ็กเกอร์อ้างเจาะทะเบียนประชากรเดนมาร์กด้วยรหัสผ่าน “123456” ข้อมูลประชาชน 8.8 ล้านคนรั่วไหล พบแม้แต่บัญชีแอดมินก็ใช้รหัสนี้

วงการความปลอดภัยไซเบอร์กลับมาตั้งคำถามครั้งใหญ่อีกครั้ง หลังมีรายงานว่าแฮ็กเกอร์ที่อ้างว่าอยู่เบื้องหลังการเจาะระบบทะเบียนประชากรของเดนมาร์ก หรือ Central Register of Persons (CPR) สามารถเข้าถึงข้อมูลส่วนบุคคลของประชาชนได้ผ่านบัญชีของบริษัทไอทีที่ใช้รหัสผ่านสุดอ่อนอย่าง “123456” ซึ่งเป็นหนึ่งในรหัสผ่านที่คาดเดาได้ง่ายและติดอันดับรหัสผ่านยอดนิยมของโลกมาอย่างยาวนาน

เหตุการณ์นี้ส่งผลให้ข้อมูลชื่อ ที่อยู่ และหมายเลขประจำตัวประชาชน CPR ของผู้คนประมาณ 8.8 ล้านคนตกอยู่ในความเสี่ยง โดยทางการเดนมาร์กยืนยันการรั่วไหลเมื่อวันที่ 5 ตุลาคม 2026 ขณะที่รายละเอียดเรื่องรหัสผ่านมาจากการเปิดเผยของแฮ็กเกอร์และรายงานของสื่อท้องถิ่น ยังไม่ใช่ข้อสรุปอย่างเป็นทางการจากหน่วยงานสอบสวน

รหัสผ่าน 123456 ถูกใช้ถึง 3 บัญชี รวมถึงบัญชีแอดมิน

Politiken หนังสือพิมพ์ของเดนมาร์กรายงานว่า บัญชีอย่างน้อย 3 บัญชีของ Pays ApS บริษัทไอทีขนาดเล็กในเมือง Odense ซึ่งมีพนักงานเพียง 2 คน ใช้รหัสผ่าน “123456” เหมือนกัน โดยหนึ่งในนั้นเป็นบัญชีผู้ดูแลระบบ (Administrator)

บริษัทแห่งนี้ได้รับอนุญาตให้เข้าถึงระบบ CPR เพื่อให้บริการตรวจสอบข้อมูลแก่ลูกค้าธุรกิจ แต่สิทธิ์ดังกล่าวกลับถูกบุคคลภายนอกนำไปใช้ในทางที่ผิด

Sophie Laursen กรรมการผู้จัดการของ Pays ApS ยืนยันกับสำนักข่าว TV 2 เมื่อวันที่ 9 ตุลาคมว่า บริษัทเป็นผู้ให้บริการที่ได้รับผลกระทบ และสิทธิ์เข้าถึงระบบทะเบียนประชากรของบริษัทถูกนำไปใช้โดยไม่ได้รับอนุญาต

อย่างไรก็ตาม ข้อมูลเรื่องรหัสผ่าน 123456 เป็นรายละเอียดที่ Politiken รายงานจากการตรวจสอบข้อมูลที่เกี่ยวข้องกับเหตุการณ์ ขณะที่ทางการยังไม่ได้ยืนยันอย่างเป็นทางการว่ารหัสผ่านดังกล่าวเป็นช่องทางที่ใช้เจาะระบบตั้งแต่ต้น

แฮ็กข้อมูลอัตโนมัติ 14 ล้านครั้ง แต่ไม่มีใครสังเกตเห็นเกือบ 2 สัปดาห์

เอกสารที่สถานีโทรทัศน์ TV 2 ของเดนมาร์กได้รับจากการขอเข้าถึงข้อมูลระบุว่า ผู้โจมตีเริ่มเข้าถึงระบบตั้งแต่วันที่ 10 กันยายน 2026 และดำเนินการค้นหาข้อมูลด้วยระบบอัตโนมัติประมาณ 14 ล้านครั้งในช่วงวันที่ 10–20 กันยายน

แม้การเข้าถึงข้อมูลจะเกิดขึ้นอย่างผิดปกติ แต่เหตุการณ์กลับไม่ถูกตรวจพบในทันที โดยมีรายงานว่าการโจมตีเพิ่งถูกสังเกตเห็นเมื่อวันที่ 2 ตุลาคม หลังเจ้าหน้าที่ในหน่วยงานรัฐพบใบแจ้งหนี้ที่มียอดค่าใช้จ่ายสูงผิดปกติจากการค้นหาข้อมูลผ่าน Pays ApS

กล่าวคือ สัญญาณเตือนสำคัญที่ทำให้เรื่องนี้ถูกเปิดโปงไม่ใช่ระบบรักษาความปลอดภัยที่ตรวจพบการโจมตีโดยตรง แต่เป็นค่าใช้จ่ายจากการใช้งานที่มากผิดปกติ ก่อนที่หน่วยงานรัฐจะเริ่มตรวจสอบและแจ้งเหตุอย่างเป็นทางการ

ข้อมูลนี้ชี้ให้เห็นถึงปัญหาสำคัญของระบบที่เปิดให้บริษัทภายนอกเข้าถึงฐานข้อมูลระดับชาติ หากไม่มีระบบติดตามพฤติกรรมที่ผิดปกติอย่างมีประสิทธิภาพ แม้การใช้งานจะผิดไปจากรูปแบบปกติอย่างชัดเจนก็อาจไม่ถูกตรวจจับได้ทันเวลา

ข้อมูลรั่วไหล 8.8 ล้านคน รวมถึงผู้เสียชีวิตและผู้ที่ย้ายออกนอกประเทศ

ทะเบียน CPR ของเดนมาร์กมีข้อมูลประชากรราว 11 ล้านรายการ ครอบคลุมทั้งผู้ที่ยังมีชีวิต ผู้เสียชีวิต และผู้ที่ย้ายถิ่นฐานออกจากประเทศ

ทางการระบุว่าข้อมูลของประมาณ 8.8 ล้านคนได้รับผลกระทบ โดยประกอบด้วยชื่อ ที่อยู่ และหมายเลขประจำตัว CPR ซึ่งเป็นข้อมูลสำคัญสำหรับการระบุตัวตนและใช้บริการต่าง ๆ ในเดนมาร์ก

แม้แฮ็กเกอร์ที่อ้างตัวจะบอกกับ Politiken ว่าไม่มีแผนขายหรือเผยแพร่ข้อมูลดังกล่าว แต่คำกล่าวอ้างนี้ไม่ได้รับประกันว่าข้อมูลจะไม่ถูกนำไปใช้ในทางที่ผิด หรือไม่มีบุคคลอื่นเข้าถึงข้อมูลที่ถูกดึงออกไปแล้ว

นอกจากนี้ ตัวเลข 14 ล้านครั้งหมายถึงจำนวนการค้นหาข้อมูลอัตโนมัติ ไม่ใช่จำนวนบุคคลที่ได้รับผลกระทบ โดยตัวเลขผู้ได้รับผลกระทบที่ทางการเปิดเผยอยู่ที่ประมาณ 8.8 ล้านคน

ทางการเตือน หมายเลข CPR เพียงอย่างเดียวอาจใช้ยืนยันตัวตนไม่ได้อีกต่อไป

ผลกระทบที่สำคัญของเหตุการณ์นี้ไม่ได้จำกัดอยู่แค่การสูญเสียความเป็นส่วนตัว เพราะหมายเลข CPR เป็นข้อมูลที่มีบทบาทสำคัญในการยืนยันตัวตนของประชาชนในเดนมาร์ก

หน่วยงานด้านความปลอดภัยสาธารณะของเดนมาร์ก หรือ Samsik เตือนว่า หมายเลข CPR เพียงอย่างเดียวไม่สามารถถือเป็นหลักฐานที่เชื่อถือได้สำหรับการยืนยันตัวตนอีกต่อไป หลังข้อมูลจำนวนมหาศาลถูกเปิดเผย

ความเสี่ยงที่ตามมา ได้แก่ การหลอกลวงแบบฟิชชิงที่ใช้ชื่อ ที่อยู่ และหมายเลขประจำตัวจริงของเหยื่อเพื่อสร้างความน่าเชื่อถือ รวมถึงความพยายามแอบอ้างเป็นเจ้าของข้อมูลเพื่อหลอกให้เปิดเผยรหัสผ่านหรือข้อมูลสำคัญอื่น ๆ

สำหรับผู้ที่อยู่ในเดนมาร์ก คำแนะนำสำคัญคือควรระมัดระวังข้อความ อีเมล และโทรศัพท์ที่อ้างว่ามาจากหน่วยงานรัฐหรือผู้ให้บริการ โดยเฉพาะกรณีที่ผู้ติดต่อทราบข้อมูลส่วนตัวอยู่แล้ว เพราะการรู้ชื่อ ที่อยู่ หรือหมายเลข CPR ไม่ได้แปลว่าบุคคลนั้นเป็นเจ้าหน้าที่จริง

บทเรียนสำคัญ: รหัสผ่านง่าย ๆ อาจนำไปสู่ความเสียหายระดับประเทศ

เหตุการณ์นี้เป็นตัวอย่างชัดเจนว่า ความปลอดภัยของฐานข้อมูลสำคัญไม่ได้ขึ้นอยู่กับเทคโนโลยีราคาแพงหรือระบบป้องกันที่ซับซ้อนเพียงอย่างเดียว แต่ยังขึ้นอยู่กับการจัดการบัญชีผู้ใช้ การควบคุมสิทธิ์ และการตรวจจับความผิดปกติด้วย

หากบัญชีที่มีสิทธิ์เข้าถึงข้อมูลสำคัญใช้รหัสผ่านที่คาดเดาได้ง่าย โดยเฉพาะบัญชีแอดมิน ความเสี่ยงก็อาจขยายจากปัญหาภายในบริษัทเล็ก ๆ ไปสู่ข้อมูลของประชาชนหลายล้านคนได้

สำหรับผู้ใช้ทั่วไป เหตุการณ์นี้เป็นเครื่องเตือนใจให้หลีกเลี่ยงรหัสผ่านอย่าง 123456, password หรือชุดตัวเลขที่เดาง่าย และควรใช้รหัสผ่านที่ไม่ซ้ำกันในแต่ละบริการ พร้อมเปิดใช้การยืนยันตัวตนหลายขั้นตอน (MFA) เมื่อมีให้ใช้งาน

ท้ายที่สุด แม้ผู้ที่อ้างว่าเป็นแฮ็กเกอร์จะระบุว่าไม่คิดขายหรือเผยแพร่ข้อมูล แต่เมื่อข้อมูลส่วนบุคคลถูกดึงออกจากระบบแล้ว ก็ไม่อาจรับประกันได้ว่าจะไม่มีใครนำไปใช้ประโยชน์ในอนาคต เหตุการณ์นี้จึงเป็นกรณีศึกษาที่สะท้อนว่า ความผิดพลาดเพียงจุดเดียวในการจัดการรหัสผ่าน อาจสร้างความเสี่ยงให้ประชาชนหลายล้านคนพร้อมกันได้

ที่มา: TechPowerUp