Datele a 8,8 milioane de persoane, expuse într-o breșă în Danemarca
Atacatorii au folosit accesul unei companii private autorizate pentru a efectua peste 14 milioane de căutări în registrul central al populației. Autoritățile daneze au deconectat firma și au dispus o analiză a procedurilor de protecție.
Datele personale a 8,8 milioane de oameni au fost expuse neautorizat după exploatarea accesului unei companii private la registrul central al populației din Danemarca. Incidentul, produs în septembrie, a fost descoperit după ce administratorii bazei de date au încercat să factureze volumul neobișnuit de mare al căutărilor.
Accesul companiei, folosit abuziv
Atacatorii au efectuat peste 14 milioane de căutări automate în registrul CPR, iar 8,8 milioane dintre interogări au returnat date valide. Accesul legal la registru presupune plata fiecărei interogări, iar tentativa de facturare a scos la iveală activitatea neobișnuită.
Potrivit materialului, atacatorii nu au pătruns direct în infrastructura guvernamentală, ci au exploatat canalul legitim al Pays ApS, o companie de tehnologie din Odense. În iulie 2026, firma figura cu doi angajați. Pays ApS a recunoscut utilizarea abuzivă a accesului său.
O investigație a publicației Politiken, citată de ziarul AS, a indicat că cel puțin trei conturi ale companiei, inclusiv unul cu drepturi de administrator, foloseau parola „123456”. Un individ care și-a asumat responsabilitatea a declarat că a folosit datele de autentificare ale unui fost salariat. Expertul danez în securitate cibernetică Jens Myrup Pedersen a descris situația drept „o ușă deschisă”.
Ce date au fost expuse
Informațiile extrase includ nume, adrese și numere CPR, echivalentul codului numeric personal. Numărul dosarelor compromise depășește populația vie a Danemarcei, estimată în material la circa 6 milioane, deoarece registrul păstrează aproximativ 11 milioane de fișe istorice, inclusiv ale persoanelor decedate sau emigrate. Persoanele cu identitate protejată nu au fost vizate.
Anomaliile au fost identificate pe 2 octombrie, iar Ministerul Digitalizării a făcut cazul public trei zile mai târziu. Ministra Christina Egelund a numit incidentul „profund grav” și a dispus o analiză structurală a procedurilor de protecție. Firma a fost deconectată imediat.
Avertisment pentru cetățeni
Oficialii danezi au indicat drept principal risc tentativele sofisticate de fraudă și uzurpare de identitate. Cetățenii au fost avertizați să nu divulge parole sau date confidențiale doar pentru că interlocutorul pare să le cunoască numărul CPR.
Sistemul de autentificare multifactorială MitID nu a fost afectat. Următorii pași menționați de autorități sunt analiza structurală a procedurilor de protecție și prudența cetățenilor în fața solicitărilor de informații confidențiale.
Sursa: www.go4it.ro