Danemarca investighează un incident de securitate cibernetică extrem de grav care a expus datele a 8,8 milioane de persoane din registrul central al populației. Atacatorii au reușit să acceseze informații sensibile prin intermediul unei firme de tehnologie, profitând de vulnerabilități majore în procesul de autentificare. Autoritățile locale analizează momentul în care breșa a avut loc și modul în care accesul legal a fost transformat într-un instrument de extragere de date.
Investigația condusă de cotidianul Politiken a scos la iveală faptul că firma Pays ApS din Odense ar fi utilizat o parolă extrem de simplă, „123456”, pentru accesul în sistem. Această parolă ar fi fost aplicată cel puțin trei conturi ale companiei, inclusiv unul cu drepturi de administrator. Deși autoritățile nu au confirmat oficial dacă exact această parolă a cauzat breșa, expertul în securitate Jens Myrup Pedersen a declarat că astfel de secvențe simple reprezintă o „ușă deschisă” pentru orice atacator.
Incidentul a fost detectat abia în momentul în care administrația registrului a încercat să factureze căutările efectuate de firmă. În luna septembrie, au fost înregistrate peste 14 milioane de căutări automate în registrul central al populației (CPR), dintre care 8,8 milioane au returnat date reale. Firma Pays ApS, care avea doar doi angajați în iulie 2026, a confirmat că accesul legal de care dispunea a fost utilizat în mod abuziv de către terți.
Datele extrase includ nume, adrese și numere CPR, care reprezintă echivalentul danez al codului numeric personal. Deși cifra de 8,8 milioane depășește populația actuală a țării, registrul conține aproximativ 11 milioane de înregistrări, incluzând persoane decedate sau emigranți. Ministerul Digitalizării a anunțat incidentul pe 5 octombrie, după ce neregulile au fost observate în seara de 2 octombrie, iar ministra Christina Egelund a cerut o revizuire totală a securității.
Pericolul principal identificat de autorități este frauda țintită, deoarece atacatorii pot folosi datele pentru a crea mesaje sau apeluri telefonice mult mai credibile. Cetățenii sunt sfătuiți să nu divulge parolele prin telefon sau e-mail, chiar dacă interlocutorul pare să dețină informații confirmatoare. Totuși, conturile protejate prin sistemul de autentificare în doi pași MitID nu au fost afectate de acest atac cibernetic.
Sistemul de înregistrare CPR este esențial pentru funcționarea administrației statului danez, gestionând informații despre rezidenți, persoane decedate și cetățeni care au părăsit țara. Gestionarea acestor baze de date necesită protocoale stricte de securitate pentru a preveni utilizarea abuzivă a accesului comercial. În urma acestui incident, poliția daneză a deschis o anchetă oficială pentru a determina responsabilitățile juridice ale celor implicate.