Autoritățile din Danemarca investighează un incident de securitate cibernetică extrem de grav, prin care datele a 8,8 milioane de persoane au fost expuse. Atacul a vizat registrul central al populației, cunoscut sub numele de CPR, iar breșa a fost identificată după ce au fost observate nereguli în cursul lunii octombrie. Incidentul a pus în pericol informații sensibile ale unei mari părți a populației, incluzând date care depășesc numărul actual de locuitori ai țării.
Investigația condusă de cotidianul Politiken a scos la iveală faptul că firma Pays ApS din Odense ar fi utilizat parola „123456” pentru accesul în sistem. Cel puțin trei conturi ale acestei companii de tehnologie, inclusiv un cont cu drepturi de administrator, ar fi fost compromise prin această parolă simplă. Atacatorii nu au necessariamente spart sistemele statului, ci au exploatat accesul legal pe care firma îl deținea deja pentru a interoga baza de date.
În luna septembrie, au fost efectuate peste 14 milioane de căutări automate în registrul CPR, dintre care 8,8 milioane au returnat date reale. Atacul a ieșit la iveală în momentul în care administrația registrului a încercat să factureze firmei interogările efectuate, deoarece fiecare căutare este taxată. Datele accesate includ nume, adrese și numere CPR, echivalentul danez al codului numeric personal, afectând atât locuitori activi, cât și persoane decedate sau emigranți.
Ministerul Digitalizării a anunțat incidentul pe 5 octombrie, după ce neregulile au fost observate în seara zilei de 2 octombrie. Ministra Christina Egelund a calificat situația drept profund gravă și a solicitat o revizuire completă a protocoalelor de securitate. În prezent, firma Pays ApS a fost deconectată de la sistem, iar poliția a deschis o anchetă oficială pentru a determina responsabilitățile, în timp ce Agenția daneză pentru protecția datelor analizează modul în care s-a produs breșa.
Pericolul principal identificat de autorități este riscul de fraudă țintită, deoarece atacatorii pot folosi datele pentru a crea mesaje sau apeluri telefonice mult mai credibile. Deși datele personale au fost expuse, conturile protejate prin MitID, sistemul de autentificare în doi pași din Danemarca, nu au fost afectate de acest incident. Autoritățile avertizează cetățenii să nu divulge niciodată parolele prin telefon sau e-mail, chiar dacă interlocutorul pare să dețină informații corecte despre identitatea lor.
Securitatea bazelor de date guvernamentale rămâne o prioritate critică în gestionarea identității digitale la nivel național. În Danemarca, registrul central al populației cuprinde aproximativ 11 milioane de înregistrări, o cifră mai mare decât populația actuală de circa 6 milioane de locuitori, din cauza includerii persoanelor decedate sau care au părăsit țara. Această structură a datelor explică de ce numărul de înregistrări afectate a depășit numărul total de cetățeni rezidenți.