Hacker News Digest

Утечка CPR произошла из‐за слабой политики паролей, отсутствия MFA и использования номера CPR как секретного аутентификатора, что является ошибкой проектирования, поскольку такой идентификатор не должен быть секретным. Слабый пароль «123456» и отсутствие MFA позволили злоумышленникам получить доступ к базе CPR, что подтверждают участники. Надзор за сторонними провайдерами оказался недостаточным. Совет: Проводить регулярные аудиты третьих сторон, имеющих доступ к гражданскому реестру, и вводить обязательную сложность паролей (минимум 12 символов, специальные символы) и двухфакторную аутентификацию для всех привилегированных аккаунтов. Спор: Одни винят отдельных сотрудников и их некомпетентность (ionwake), другие — конфликт интересов между командами безопасности и продуктивности, где отсутствие баланса приводит к утечкам (zkmon). Отсутствие надзора и базовых процедур (обязательный контроль паролей, MFA, ограничение выгрузок) в государственных системах приводит к системным уязвимостям, как отмечают sneak и 0xbadcafebee.

В Дании выявлена масштабная утечка персональных данных: злоумышленники использовали легальный доступ одной компании к национальной базе CPR, чтобы получить имена, адреса и CPR-номера около 8,8 миллиона граждан. Утечка не затронула тех, кто оформил защиту своих данных — их информация осталась недоступной.

Администрация CPR немедленно отключила доступ компании, уведомила надзорный орган Datatilsynet и передала дело в полицию. Ведётся расследование в сотрудничестве с экспертами и государственными структурами. Инцидент подчёркивает риски, связанные с широким доступом к централизованным реестрам, даже при формальном соблюдении законов.

Утечка CPR-номеров в Дании произошла из-за неограниченного легального доступа компаний к национальной базе через API, а не из-за взлома. CPR-номер используется как универсальный идентификатор для доступа к медицинским, банковским и государственным сервисам, что делает его критически ценным. Доступ к базе предоставляется без ограничений на объём или частоту запросов, позволяя любому сотруднику компании экспортировать данные всей популяции. Население Дании — около 6 млн, но утечка затронула 8,8 млн записей, включая данные умерших и бывших резидентов, что указывает на хранение исторических данных в базе. Несмотря на наличие MitID как двухфакторной системы аутентификации, утечка CPR-номеров ставит под угрозу целостность системы, так как номера используются как первичный идентификатор во многих сервисах, где двухфакторная аутентификация не применяется (например, аптеки). Цифровизация государственных услуг в Дании развивалась без должного акцента на кибербезопасность, и IT-инфраструктура часто управляется другими министерствами, а не отдельным ведомством. Аналогичные утечки произошли в Польше (20 млн медицинских записей) и Франции (678 тыс. налоговых записей), указывая на системную проблему в ЕС. GDPR не предотвратил такие инциденты: штрафы недостаточны для стимулирования инвестиций в безопасность, а закон не применяется к государственным системам в полной мере. Спор о публичном доступе к данным (как в Швеции через hitta.se) не решён: одни считают, что прозрачность снижает риск злоупотреблений, другие — что это лишь легитимизирует эксплуатацию данных и не заменяет защиту. Для снижения рисков необходимо: рассматривать CPR-номер как имя пользователя, а не пароль, требуя дополнительный фактор аутентификации; обязывать компании анонимизировать или хешировать данные при тестировании; вводить уголовные наказания для ответственных лиц внутри компаний; ограничивать доступ к CPR только тем организациям, которые действительно нуждаются в данных для законных функций, и проводить строгий аудит всех запросов. Утечка подтверждает, что персональные данные в Дании давно не являются секретом — они доступны через легальные каналы, делая инцидент не новостью, а масштабным проявлением уже уязвимой системы. Цифровая идентификация на основе национальных номеров фундаментально уязвима при отсутствии контроля над доступом.

Автор — инженер-программист, который годами откладывал получение лицензии СМП (спасатель-медик), пока в 2024 году не взял месяц отпуска и не прошёл интенсивный курс Wilderness EMT в Вайоминге. Главные причины задержки — реальные: нехватка времени, токсичная культура в EMS, где много выгоревших и фратерских настроений, особенно для женщин. Но многие «причины» оказались надуманными: он боялся не вписаться в группу студентов — а они оказались в основном восторженными подростками и взрослыми, как он; думал, что обязан ездить на «скорой» — а нет, достаточно просто уметь делать СЛР; переживал, что отвлечётся от работы — но баланс оказался возможен.

Самая сильная причина — страх. Страх перед неизвестным, перед ответственностью, перед тем, чтобы войти в мир, чуждый его офисной реальности. Он осознал, что годами изобретал оправдания, чтобы не сделать то, что глубоко хотел — как другие избегают страшных фильмов или поездок. Его вывод: если что-то вас тянет, несмотря на все «но», — вероятно, вы просто боитесь. А страх — не повод не делать. Иногда стоит просто начать.

Работа EMT даёт чувство пользы и практические навыки, но сопровождается токсичной культурой, низкой оплатой и высоким уровнем выгорания. Многие отмечают личное удовлетворение и пользу для общества, однако сталкиваются со стрессом, травматическим опытом и риском ПТСР. Для тех, кто не хочет работать в городском EMS, рекомендуются удалённые или wilderness‐курсы (NOLS WEMT, Remote EMT) — они дают гибкость и навыки для экспедиций и офшорных проектов. Если цель — базовая квалификация без профессиональной работы, стоит рассмотреть EMR: короткий курс, минимум обязательств, быстрый старт. Для поддержания сертификата EMT проще сдавать экзамен на переаттестацию каждые пару лет, чем отслеживать CE‐часы (как советует @edunham). Волонтёрские отделения часто покрывают стоимость обучения EMT (~160 часов) и предлагают гибкий график, что подходит людям с хронической тревожностью и желанием совмещать занятия с другими увлечениями. Те, кто пришёл из инженерии или программирования, отмечают, что работа EMT позволяет применять отладочный и проблемно‐ориентированный подход, что делает переход естественным.