Утечка CPR произошла из‐за слабой политики паролей, отсутствия MFA и использования номера CPR как секретного аутентификатора, что является ошибкой проектирования, поскольку такой идентификатор не должен быть секретным. Слабый пароль «123456» и отсутствие MFA позволили злоумышленникам получить доступ к базе CPR, что подтверждают участники. Надзор за сторонними провайдерами оказался недостаточным. Совет: Проводить регулярные аудиты третьих сторон, имеющих доступ к гражданскому реестру, и вводить обязательную сложность паролей (минимум 12 символов, специальные символы) и двухфакторную аутентификацию для всех привилегированных аккаунтов. Спор: Одни винят отдельных сотрудников и их некомпетентность (ionwake), другие — конфликт интересов между командами безопасности и продуктивности, где отсутствие баланса приводит к утечкам (zkmon). Отсутствие надзора и базовых процедур (обязательный контроль паролей, MFA, ограничение выгрузок) в государственных системах приводит к системным уязвимостям, как отмечают sneak и 0xbadcafebee.