Дания расследует доступ к данным 8,8 млн человек через аккаунт компании
Министерство цифровизации Дании сообщило о несанкционированном доступе к данным примерно 8,8 млн человек из Центрального регистра населения CPR. Неизвестные использовали законный доступ частной датской компании и в течение около десяти дней сентября получали имена, адреса и персональные идентификационные номера CPR.
Доступ компании к реестру уже остановлен. Администрация CPR направила уведомление в датский орган по защите данных Datatilsynet, а полиция начала расследование. Окончательная оценка масштаба ещё не завершена: Datatilsynet называет сведения о полученных номерах предположительными на этапе проверки.
Как обнаружили массовые запросы
Сотрудник администрации реестра заметил необычную активность в пятницу, 2 октября. За выходные ведомство установило предполагаемый объём затронутых записей. Datatilsynet сообщило, что в CPR выполнялось очень большое число автоматизированных запросов для определения действительных CPR-номеров.
Министр, ответственная за цифровизацию, Кристина Эгелунд заявила агентству Ritzau, что действовавших защитных механизмов оказалось недостаточно и сигнализация должна была сработать раньше. Министерство начало меры против повторения инцидента, не раскрывая их содержание, и запросило полную проверку безопасности регистра.
Какие данные могли быть затронуты
В CPR содержатся данные примерно 11 млн человек, которые живут или жили в Дании: нынешних жителей, уехавших за границу и умерших. Таким образом, заявленный объём доступа соответствует приблизительно четырём из пяти записей реестра. Само население Дании на начало 2025 года составляло менее 6 млн человек.
Министерство подчёркивает, что доступ не выходил за пределы данных, которые частные компании вправе получать через CPR. Имена и адреса людей, оформивших защиту имени и адреса, в эту выдачу не попали. При этом власти не уточнили, были ли доступны CPR-номера таких лиц и будут ли граждан уведомлять индивидуально.
CPR-номер состоит из десяти цифр: шести цифр даты рождения и четырёх серийных цифр. Официальные рекомендации CPR отдельно указывают, что такой номер помогает идентифицировать человека, но не должен служить единственным доказательством личности.
Что советуют гражданам и компаниям
Ведомство рекомендует с повышенным вниманием относиться к неожиданным сообщениям, звонкам и письмам, даже если отправитель знает персональные сведения. Нельзя передавать реквизиты MitID, одноразовые коды, пароли и данные банковских карт. Подозрительные обращения следует проверять через официальный сайт организации или её основной номер телефона.
Жители старше 15 лет могут установить на borger.dk кредитное предупреждение в CPR. Этот маркер сигнализирует подключённым компаниям о необходимости тщательнее проверять личность перед выдачей кредита; при этом решение по заявке может стать сложнее до снятия отметки.
Для бизнеса инцидент показывает риск доверенного доступа: даже легитимный корпоративный аккаунт требует контроля массовых операций, ограничений на автоматизированные запросы и оперативной реакции на отклонения. Власти пока не раскрыли, каким образом злоумышленники получили доступ к системам компании, использовали ли они данные и потребуется ли части граждан смена CPR-номеров.