Autoritățile din Danemarca desfășoară o investigație după ce datele a 8,8 milioane de persoane au fost accesate neautorizat în registrul central al populației (CPR). Atacul cibernetic a fost identificat în urma unei verificări de facturare, când administrația registrului a observat un volum anormal de interogări. În septembrie, au fost efectuate peste 14 milioane de căutări automate, dintre care 8,8 milioane au returnat date reale ale cetățenilor.
Investigația realizată de cotidianul Politiken a scos la iveală faptul că firma Pays ApS din Odense ar fi utilizat o parolă extrem de vulnerabilă. Cel puțin trei conturi ale acestei companii, inclusiv unul cu drepturi de administrator, foloseau parola „123456”. Deși atacatorii nu au spart direct sistemele statului, aceștia au exploatat accesul legal pe care firma de tehnologie îl deținea asupra registrului central al populației.
Datele compromise includ nume, adrese și numere CPR, echivalentul danez al CNP-ului. Deși cifra de 8,8 milioane depășește populația actuală a țării, de aproximativ 6 milioane de locuitori, registrul conține circa 11 milioane de înregistrări, incluzând persoanele decedate sau cele care au părăsit țara. Expertul în securitate cibernetică Jens Myrup Pedersen a declarat că utilizarea unei astfel de parole a lăsat o „ușă deschisă” pentru atacatori.
Ministerul Digitalizării a anunțat incidentul pe 5 octombrie, după ce neregulile au fost observate în seara zilei de 2 octombrie. Ministra Christina Egelund a calificat evenimentul drept profund grav și a solicitat o revizuire completă a securității sistemului. În urma atacului, firma Pays ApS, care avea doar doi angajați în iulie 2026, a fost deconectată de la sistem, iar poliția a deschis o anchetă oficială.
Pericolul imediat identificat de autorități este riscul de fraudă țintită prin utilizarea datelor personale pentru a crea mesaje sau apeluri telefonice credibile. Deoarece atacatorii dețin acum nume și adrese, simpla cunoaștere a acestor detalii nu mai poate fi considerată o dovadă de identitate validă. Autoritățile recomandă cetățenilor să nu divulge niciodată parolele prin telefon sau e-mail, chiar dacă interlocutorul pare să dețină informații personale de identificare.
Sistemul de autentificare în doi pași din Danemarca, MitID, a rămas neafectat în urma acestui incident de securitate. Agenția daneză pentru protecția datelor continuă investigația pentru a determina responsabilitățile juridice și modul exact în care accesul a fost abuziv. Protecția datelor personale rămâne o prioritate în contextul în care accesul legal a fost transformat într-un instrument de colectare masivă de informații sensibile.