北京
丹麦中央人口登记系统（CPR）的数据，被人通过一家IT服务公司的接口拿到了。丹麦当局已经确认了这起数据获取事件。而自称实施入侵的人，把入口说得相当轻描淡写——一个密码是"123456"的账户。
这事最反常识的地方就在这儿：不是零日漏洞，不是供应链投毒，不是社工钓鱼，是一个弱到不能再弱的密码。但把这件事拆开看，它其实不是"黑客太强"或者"系统太烂"这么简单的二选一。
先看事实：发生了什么
根据丹麦广播公司TV 2获得的文件，攻击者在9月10日获得访问权限，到9月20日之间进行了约1400万次自动查询。10月2日，一张显示活动量异常升高的账户凭证让事件被发现。
涉及的数据规模是：影响记录数约880万条，涉及约550万在世者、330万已故者。丹麦当局确认，有人滥用了某家公司的合法访问权限，获取了姓名、地址、个人身份号码及其他资料。
这家公司叫Pays ApS，是一家丹麦IT与数据服务公司，访问CPR是为了给客户核对自身记录，包括更新地址、识别已故人士。Pays ApS方面确认，其访问权限遭到了利用。
正方观点：问题出在"123456"
自称实施入侵的人对丹麦媒体Politiken表示，一个使用"123456"密码的账户让其进入了系统，并声称无意公开实际被防住的信息。Politiken称，Pays ApS至少一个账户使用了这一密码，其中包括一个管理员账户。
Malwarebytes称，最初的访问据称耗时不到两小时，用了弱密码。站在这个角度看，整件事的因果链非常短：一个管理员账户用了"123456"，有人试了，进去了，然后自动化脚本跑了1400万次查询。没有技术奇迹，只有一道形同虚设的门。
这个视角的说服力在于，它指向一个可修复的问题——密码策略。如果管理员账户都不强制复杂密码，那再多的安全预算也可能被一个键盘上顺手敲出来的六位数绕过去。
反方观点：密码只是最后一环
但把锅全甩给"123456"，逻辑上有个缺口。一个管理员账户能对全国人口登记系统发起1400万次查询，这本身说明权限设计和异常监测也有问题。
注意时间线：9月10日拿到权限，9月20日之前跑了约1400万次查询，直到10月2日才因为一张凭证显示活动量异常升高而被发现。也就是说，从首次访问到被发现，中间隔了三周多。密码是入口，但"1400万次查询没人拦"是另一回事。
换句话说，弱密码解释了"怎么进去的"，但解释不了"进去之后为什么能待这么久、查这么多"。这两件事需要分开归因，不能混成一个"都怪密码太简单"的结论。
哪些说法还不能当成定论
这里需要划一条线。关于入侵方式以及耗时多久的说法，目前还不能与当局确认的数据获取事件画等号。
- 丹麦当局确认的是：数据获取事件属实，有人滥用了合法访问权限。
- Pays ApS确认的是：其访问权限遭到了利用。
- "123456"密码、管理员账户、不到两小时——这些来自自称入侵者的说法和Politiken、Malwarebytes的报道，属于相关方陈述，不是当局的最终认定。
把这三层信息分开看，才能避免把"自称"当成"已证实"。
已经采取的动作
CPR管理机构表示，享受特别姓名和地址保护的登记人士，其姓名和地址没有泄露。该机构已中止Pays ApS的访问权限，通知丹麦数据保护机关，并确认警方正在调查。
已故者的数据也在受影响范围内——约330万条记录。这一点容易被忽略：人口登记系统里不只有在世者的信息。
冷静拆解：这不是一个笑话
"123456"这个细节天然带梗，很容易被当成一条段子传播。但如果只记住这个梗，就会漏掉真正值得追问的部分：一个第三方服务商的访问权限，为什么能覆盖到这种量级的数据？异常查询的发现机制，为什么滞后了三周？
密码弱是事实，权限大也是事实，发现慢还是事实。三件事叠在一起，才构成了这起事件。只挑其中一件来说，都不完整。
目前警方正在调查，关于入侵方式的说法仍待当局确认。在那之前，能确定的是数据确实被获取了，规模确实不小，而入口的钥匙，据称简单得让人说不出话。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
