Danimarca, maxi furto di dati dall’anagrafe nazionale: coinvolte 8,8 milioni di persone

Un’anomalia rilevata nel sistema, poi la scoperta di una violazione dalle dimensioni eccezionali. In Danimarca i dati personali di circa 8,8 milioni di persone sono stati sottratti dal Registro centrale delle persone, il CPR, l’infrastruttura pubblica che dal 1968 raccoglie le informazioni di chiunque abbia vissuto nel Paese. Una vicenda che non riguarda soltanto la sicurezza informatica: mette in discussione la vulnerabilità di sistemi digitali diventati indispensabili per il funzionamento quotidiano di uno Stato.

Furto di dati in Danimarca: cosa è successo al registro CPR

A rendere nota la violazione è stato il ministero danese della Ricerca, dell’Istruzione e della Digitalizzazione. Secondo le informazioni diffuse dalle autorità, soggetti non ancora identificati sarebbero riusciti a ottenere dati appartenenti a circa l’80 per cento delle quasi 11 milioni di persone presenti nel Registro centrale.

La cifra supera nettamente l’attuale popolazione danese, che conta circa sei milioni di abitanti, perché il CPR conserva anche le informazioni di persone morte o emigrate. È quindi l’archivio stesso, e non la popolazione residente, a spiegare le dimensioni apparentemente sproporzionate dell’incidente.

Quali dati sono stati rubati dall’anagrafe della Danimarca

Tra le informazioni sottratte figurano nomi, indirizzi e numeri di identificazione personale. Quest’ultimo elemento rende particolarmente delicata la violazione: il numero CPR è composto da dieci cifre e accompagna i cittadini in numerosi rapporti con lo Stato e con soggetti privati.

Viene utilizzato nei rapporti con gli enti pubblici, nel sistema sanitario e in quello bancario. Non si tratta quindi semplicemente di un dato presente in un archivio, ma di uno degli identificatori centrali della vita amministrativa danese. Ed è proprio questa caratteristica a rendere l’incidente significativo anche al di fuori dei confini del Paese.

FBI sotto attacco: quando a essere vulnerabile è chi dovrebbe proteggerci

Attacco al registro CPR: non sarebbe stato violato direttamente il sistema

Uno degli aspetti più interessanti riguarda il modo in cui sarebbe avvenuta l’intrusione. Stando alla ricostruzione comunicata dalle autorità, gli autori non avrebbero ottenuto l’accesso attaccando direttamente il registro, ma sfruttando le credenziali o comunque l’accesso legittimo di un’azienda danese autorizzata a consultarlo.

Il nome della società non è stato reso pubblico. Dopo la scoperta dell’accaduto, l’amministrazione del CPR ne ha bloccato l’accesso e ha segnalato il caso all’autorità competente per la protezione dei dati. Resta invece ancora da chiarire chi abbia sottratto le informazioni e con quali finalità.

Danimarca, l’anomalia scoperta dopo settimane

La sequenza temporale apre un ulteriore interrogativo. L’amministrazione del Registro centrale avrebbe rilevato venerdì un comportamento anomalo riconducibile al mese di settembre. Nel corso del fine settimana le verifiche avrebbero poi permesso di stabilire la portata dell’accesso e il numero di dati coinvolti.

La distanza tra il periodo nel quale si sarebbero verificati gli accessi e la loro individuazione mostra una delle difficoltà più comuni nella sicurezza delle grandi infrastrutture digitali: un accesso formalmente autorizzato può essere più difficile da distinguere immediatamente da un comportamento malevolo. Se la porta utilizzata è già aperta per ragioni legittime, riconoscere chi la sta attraversando e per quale motivo diventa essenziale.

Il furto di dati in Danimarca e il problema degli accessi autorizzati

È qui che la vicenda danese assume una dimensione più ampia. La sicurezza di un archivio pubblico non dipende esclusivamente dalla capacità di proteggerne il perimetro dagli attacchi esterni. Dipende anche dalla rete di aziende, fornitori e soggetti che dispongono legittimamente di un accesso ai suoi dati.

Più un sistema è integrato con servizi esterni, maggiore diventa la necessità di controllare non soltanto chi possiede le autorizzazioni, ma anche come vengono utilizzate. Il punto debole, in altre parole, può non trovarsi nel cuore dell’infrastruttura: può essere uno dei soggetti che gravitano attorno ad essa. È il principio della sicurezza della catena di fornitura, diventato centrale con la progressiva digitalizzazione dei servizi pubblici.

Groenlandia, accordo tra Trump e Danimarca: nuove basi USA e Golden Dome

Perché il furto dei numeri CPR è particolarmente delicato

Un numero identificativo nazionale non è una password. Non può essere sostituito con la stessa facilità con cui si modifica una credenziale compromessa e, soprattutto, tende ad accompagnare una persona per periodi molto lunghi. Per questo la sottrazione di identificatori permanenti ha conseguenze potenzialmente durature.

Questo non significa che il possesso di nome, indirizzo e CPR permetta automaticamente di accedere a un conto bancario o impersonare qualcuno in qualsiasi servizio. Sarebbe scorretto trasformare una violazione grave in uno scenario catastrofico senza ulteriori elementi. Tuttavia, informazioni anagrafiche affidabili possono diventare materiale utile per tentativi di frode, impersonificazione o campagne di phishing più credibili, soprattutto se successivamente incrociate con dati provenienti da altre fonti.

La Danimarca avvia una revisione della sicurezza del registro

Dopo la scoperta del furto, le autorità hanno avviato una revisione delle misure di sicurezza del sistema con l’obiettivo di capire come sia stato possibile ottenere una quantità così estesa di informazioni e impedire che episodi analoghi possano ripetersi.

L’indagine dovrà chiarire anche quale sia stata esattamente la vulnerabilità sfruttata attraverso l’azienda autorizzata e se esistessero strumenti in grado di individuare prima l’attività anomala. Perché il problema non riguarda soltanto la presenza di una barriera informatica: riguarda la capacità di accorgersi rapidamente quando un comportamento legittimo smette di esserlo.

Il caso Danimarca mostra il paradosso dello Stato digitale

La Danimarca è uno dei Paesi europei nei quali la digitalizzazione dei servizi pubblici è maggiormente integrata nella vita quotidiana. Proprio per questo un episodio simile mette in evidenza un paradosso: più efficiente diventa l’identità digitale, maggiore è il valore dei sistemi che la custodiscono.

Centralizzare le informazioni permette di semplificare servizi, procedure e rapporti con la pubblica amministrazione. Allo stesso tempo significa concentrare enormi quantità di dati in infrastrutture che diventano obiettivi particolarmente preziosi. E quando l’accesso viene condiviso con soggetti esterni, la sicurezza del sistema finisce inevitabilmente per dipendere anche dalla sicurezza di ciascuno di loro.

Il furto danese, quindi, non racconta soltanto la sottrazione di 8,8 milioni di identità anagrafiche. Ricorda quanto la fiducia nello Stato digitale poggi su qualcosa che normalmente rimane invisibile: la capacità di stabilire chi può accedere ai nostri dati, controllare ciò che ne fa e riconoscere in tempo chi sta utilizzando quell’accesso per scopi diversi da quelli previsti.

Rallentare l’intelligenza artificiale prima che sia troppo veloce