Danemarca investighează accesul neautorizat la datele a 8,8 milioane de persoane din registrul populației
Autoritățile daneze anchetează un incident de securitate prin care datele a 8,8 milioane de persoane din registrul central al populației (CPR) au fost accesate neautorizat. Atacul a avut loc în septembrie, când peste 14 milioane de căutări automate au fost efectuate în sistem, iar 8,8 milioane dintre ele au returnat date reale.
Incidentul a ieșit la iveală abia în momentul în care administrația registrului a încercat să factureze firmei căutările efectuate, întrucât fiecare interogare este taxată. Firma în cauză, Pays ApS din Odense, avea acces legal la registru, dar, potrivit registrului comerțului danez, în iulie 2026 avea doar doi angajați.
Parola „123456”, folosită la conturi ale firmei
Conform unei investigații a cotidianului danez Politiken, cel puțin trei conturi ale firmei Pays ApS utilizau parola „123456”, printre care și un cont de administrator. Firma a confirmat că accesul său legal a fost folosit abuziv.
O persoană care susține că este autorul atacului a declarat că a intrat inițial în sistem cu datele de autentificare ale unui fost angajat. Autoritățile nu au stabilit încă dacă parola „123456” a fost cauza directă a breșei.
Expertul danez în securitate cibernetică Jens Myrup Pedersen a declarat că, practic, nu exista nicio protecție, ci o ușă deschisă, iar „123456” se numără printre primele parole încercate de orice atacator.
Date compromise: nume, adrese și numere personale
Atacatorii nu au spart sistemele statului, ci au folosit accesul legal pe care îl avea firma Pays ApS la registru. Au fost accesate nume, adrese și numere CPR, echivalentul danez al CNP-ului.
Cifra de 8,8 milioane depășește populația țării, de aproximativ 6 milioane de locuitori, pentru că registrul păstrează circa 11 milioane de înregistrări, inclusiv ale persoanelor decedate sau plecate din țară. Persoanele cu adresă și nume protejate nu au fost afectate.
Neregulile au fost observate în seara de 2 octombrie, iar Ministerul Digitalizării a anunțat incidentul pe 5 octombrie. Ministra Christina Egelund l-a numit profund grav și a cerut o revizuire completă a securității registrului. Firma a fost deconectată de la sistem, iar poliția a deschis o anchetă.
Riscuri și recomandări pentru cetățeni
Cel mai mare pericol imediat este frauda țintită: cine cunoaște numele, adresa și numărul personal al cuiva poate scrie mesaje sau poate da telefoane mult mai credibile. Autoritățile daneze au transmis că simpla cunoaștere a acestor date nu mai poate fi considerată o dovadă de identitate.
Ministerul le cere cetățenilor să nu-și dea niciodată parolele prin telefon sau e-mail, chiar dacă interlocutorul pare să le cunoască numele, adresa și numărul CPR. Conturile protejate prin MitID, sistemul danez de autentificare în doi pași, nu au fost afectate.
Agenția daneză pentru protecția datelor investighează modul în care s-a produs atacul și cine răspunde pentru acesta.
