Danskt CPR-dataintrång: ”123456” kopplas till 8,8 miljoner registerposter

Det danska CPR-dataintrånget ska ha exponerat information kopplad till cirka 8,8 miljoner personnummer efter att angripare missbrukat ett IT-företags behöriga åtkomst. Rapporter kopplar incidenten till svag kontosäkerhet, inklusive lösenordet ”123456”.

Odensebaserade Pays ApS bekräftade att någon hade missbrukat företagets legitima åtkomst till Danmarks folkbokföringssystem. Uppgifterna om lösenorden och intrångsmetoden kommer dock från rapportering och en anonym person som påstår sig vara ansvarig.

Incidenten väcker frågor om hur organisationer skyddar konton som är kopplade till stora offentliga databaser.

Pays ApS bekräftar missbruk av sin registeråtkomst

Pays ApS bekräftade attacken fredagen den 9 oktober. Verkställande direktören och ägaren Sophie Laursen uppgav att inkräktaren hade missbrukat företagets behörighet att söka i CPR-systemet.

Enligt Danmarks centrala företagsregister hade företaget två anställda i juli 2026.

Rapporter identifierade minst tre konton som använde ”123456”. Ett så förutsägbart lösenord ger mycket lite skydd mot en angripare som testar vanliga inloggningsuppgifter.

Samtidigt beskrev personen som påstår sig vara ansvarig en inledande åtkomstpunkt som involverade ett läckt lösenord tillhörande en tidigare anställd. De tillgängliga uppgifterna fastställer inte tydligt hur dessa inloggningsuppgifter hänger samman med de tre profiler som enligt rapporter använde ”123456”.

Den skillnaden är viktig: företaget bekräftade obehörig användning av sin åtkomst, medan den mer detaljerade beskrivningen av intrånget fortfarande bygger på angriparens egen redogörelse.

Angriparen hävdar att åtkomsten pågick i tre veckor

Enligt den anonyma redogörelsen började den obehöriga åtkomsten den 10 september och varade i 21 dagar och 17 timmar.

Personen hävdade att de hade skrivit två program som hämtade information från registret och lagrade den på annan plats. Personen uppgav också att avsikten inte var att sälja eller publicera uppgifterna.

Den försäkran ger dock ingen oberoende garanti för hur informationen kan komma att användas eller göras tillgänglig i framtiden.

Den rapporterade omfattningen gäller cirka 8,8 miljoner CPR-nummer. Det motsvarar inte nödvändigtvis 8,8 miljoner nuvarande invånare i Danmark.

Registret innehåller omkring 11 miljoner poster, inklusive personer som har flyttat utomlands och personer som har avlidit. Därför bör antalet berörda registerposter inte betraktas som antalet nu levande invånare.

Varför privata företag kan söka efter CPR-uppgifter

Danmark använder CPR-nummer för att identifiera personer inom offentliga tjänster och många transaktioner i den privata sektorn.

Behöriga organisationer kan få tillgång till viss registerinformation för ändamål som att kontrollera kundadresser eller underhålla medlemsregister. Därför kan även ett litet företag ha legitima skäl att söka i systemet.

Behörigheten att hämta information skapar dock också ett säkerhetsberoende. Svaga kontroller hos en behörig organisation kan exponera uppgifter som lagras i ett betydligt större offentligt system.

Det danska CPR-dataintrånget belyser därför riskerna med tredjepartsåtkomst, vid sidan av skyddet av själva registret.

Företagets storlek avgör inte i sig om åtkomsten var lämplig. De centrala frågorna gäller omfattningen av denna åtkomst och de säkerhetsåtgärder som skyddar den.

Exponerade personnummer kan göra nätfiske mer trovärdigt

Ett CPR-nummer ger inte i sig någon kontroll över en annan persons digitala identitet i MitID. Danmarks autentiseringssystem använder ytterligare kontroller utöver kunskap om personnumret.

Trots detta kan exponerade personuppgifter användas för bedrägeriförsök. Kriminella kan inkludera korrekta uppgifter i meddelanden för att få en falsk begäran att framstå som legitim.

De kan också kombinera informationen med material från tidigare dataintrång för att skapa mer detaljerade profiler.

Danska myndigheter har därför uppmanat till försiktighet vid oväntade telefonsamtal, e-postmeddelanden och sms, även när avsändaren känner till personliga uppgifter.

Människor bör inte lämna ut lösenord eller engångskoder för autentisering som svar på oombedda förfrågningar. Att ett meddelande innehåller bekant information bevisar inte att avsändaren representerar en betrodd organisation.