Autoritățile din Danemarca au lansat o investigație oficială în urma accesului neautorizat la datele a 8,8 milioane de persoane din registrul central al populației (CPR). Atacul cibernetic a fost descoperit în urma unui proces de facturare, când administrația registrului a observat un volum anormal de interogări. În septembrie, au fost efectuate peste 14 milioane de căutări automate în sistem, iar 8,8 milioane dintre acestea au returnat date reale ale cetățenilor.
Investigația realizată de cotidianul Politiken a scos la iveală faptul că accesul a fost facilitat de utilizarea unor parole extrem de slabe. Cel puțin trei conturi ale firmei Pays ApS din Odense foloseau parola „123456”, printre acestea figurând și un cont cu drepturi de administrator. Deși autoritățile nu au confirmat încă dacă această parolă a fost cauza directă a breșei, expertul în securitate Jens Myrup Pedersen a declarat că sistemul a funcționat ca o „ușă deschisă”.
Atacatorii nu au reușit să spargă direct infrastructura de stat, ci au exploatat accesul legal pe care firma de tehnologie Pays ApS îl deținea asupra registrului. Această companie, care avea doar doi angajați în iulie 2026, a confirmat că drepturile sale de acces au fost utilizate în mod abuziv. O persoană care pretinde că este autorul atacului a susținut că a reușit să intre inițial în sistem folosind datele de autentificare ale unui fost angajat al firmei.
Informațiile extrase includ nume, adrese și numere CPR, care reprezintă echivalentul danez al codului numeric unic de identificare. Deși cifra de 8,8 milioane depășește numărul total de locuitori din Danemarca, registrul păstrează aproximativ 11 milioane de înregistrări, incluzând și datele persoanelor decedate sau ale celor care au plecat din țară. Totuși, autoritățile au precizat că persoanele care beneficiază de adrese și nume protejate nu au fost afectate de acest incident.
Ministerul Digitalizării a anunțat incidentul pe 5 octombrie, după ce neregulile au fost observate în seara zilei de 2 octombrie. Ministra Christina Egelund a calificat situația drept profund gravă și a solicitat o revizuire completă a protocoalelor de securitate ale registrului. În prezent, firma implicată a fost deconectată de la sistem, în timp ce poliția a deschis o anchetă oficială, iar Agenția daneză pentru protecția datelor analizează modul în care s-a produs atacul.
Pericolul imediat identificat de experți este riscul de fraudă țintită, deoarece atacatorii pot folosi datele pentru a crea mesaje sau apeluri telefonice mult mai credibile. Autoritățile au avertizat cetățenii că simpla cunoaștere a numelui, adresei și numărului CPR nu mai poate fi considerată o dovadă de identitate validă. Ministerul recomandă ca persoanele să nu își divulge niciodată parolele prin telefon sau e-mail, chiar dacă interlocutorul pare să dețină informații personale de identificare.