Datele personale a 8,8 milioane de persoane din registrul central al populației din Danemarca (CPR) au fost accesate neautorizat în septembrie 2026, printr-un cont legitim al unei firme private care avea drept de interogare. Peste 14 milioane de căutări automate au fost făcute în registru, iar 8,8 milioane dintre ele au returnat date reale: nume, adrese și numere CPR, echivalentul danez al CNP-ului. Potrivit unei investigații a cotidianului Politiken, citată de publicația spaniolă AS, cel puțin trei conturi ale firmei Pays ApS din Odense, inclusiv unul de administrator, foloseau parola „123456”.
Neregulile au fost observate în seara de 2 octombrie, iar Ministerul Digitalizării a anunțat incidentul pe 5 octombrie. Atacul a ieșit la iveală abia când administrația registrului a vrut să factureze firmei căutările, pentru că fiecare interogare se plătește. Ministra Christina Egelund a numit situația „profund gravă” și a cerut o revizuire completă a securității registrului. Firma a fost deconectată de la sistem, iar poliția a deschis o anchetă. Agenția daneză pentru protecția datelor verifică cum s-a produs breșa și cine răspunde.
Nu a fost vorba despre o spargere a sistemelor statului. Atacatorii au folosit accesul legal al Pays ApS, o firmă de tehnologie care, conform registrului comerțului, avea doar doi angajați în iulie 2026. Firma a confirmat că accesul ei a fost folosit abuziv. O persoană care susține că este autorul atacului a declarat că a intrat inițial cu datele de autentificare ale unui fost angajat, așa că autoritățile nu au stabilit încă dacă parola „123456” a fost cauza directă. Expertul în securitate cibernetică Jens Myrup Pedersen a spus că, practic, nu exista nicio protecție, ci „o ușă deschisă”, iar „123456” se numără printre primele parole încercate de orice atacator.
Cifra de 8,8 milioane pare uriașă pentru o țară de aproximativ 6 milioane de locuitori, dar registrul păstrează cca 11 milioane de înregistrări, inclusiv ale persoanelor decedate sau plecate din țară. Persoanele cu nume și adresă protejate nu au fost afectate, iar conturile securizate prin MitID, sistemul danez de autentificare în doi pași, au rămas neatinse.
Riscul imediat este frauda țintită: cine știe numele, adresa și numărul personal al cuiva poate scrie mesaje sau poate suna mult mai convingător. De aceea, autoritățile daneze spun că simpla cunoaștere a acestor date nu mai poate fi considerată dovadă de identitate. Ministerul le cere cetățenilor să nu-și dea niciodată parolele prin telefon sau e-mail, chiar dacă interlocutorul pare să le cunoască numele, adresa și numărul CPR.
Sursă text și foto: Mediafax — articolul original