Dataintrång i Danmarks befolkningsregister exponerar uppgifter om 8,8 miljoner människor

Dataintrånget i Danmarks befolkningsregister har exponerat personuppgifter som tillhör cirka 8,8 miljoner människor. Myndigheterna uppger att angripare missbrukade ett privat danskt företags legitima åtkomst till det centrala personregistret, känt som CPR.

De berörda registren omfattar nuvarande invånare, personer som har flyttat utomlands och avlidna personer. Därför innebär totalsiffran inte att 8,8 miljoner människor som för närvarande bor i Danmark har drabbats.

Myndigheterna har blockerat företagets åtkomst medan polisen utreder hur angriparna fick tillgång till och missbrukade den.

Angripare missbrukade ett företags åtkomst till registret

CPR fungerar som Danmarks nationella folkbokföringsregister. Det innehåller information som namn, adresser, födelsedatum, civilstånd och unika CPR-identifikationsnummer.

Enligt det officiella meddelandet använde angriparna ett privat företags auktoriserade anslutning för att hämta namn, adresser, CPR-nummer och annan information.

Myndigheterna har dock ännu inte förklarat hur angriparna fick kontroll över denna åtkomst. Den tillgängliga redogörelsen identifierar inte heller vilket företag som var inblandat.

Separat uppgav den danska dataskyddsmyndigheten att incidenten involverade en form av brute force-enumeration. Angriparna identifierade giltiga CPR-nummer och hämtade sedan information som var kopplad till dessa poster.

Denna beskrivning pekar på upprepade sökningar i registerposter. Den fastställer inte i sig att angriparna gissade lösenord till konton.

Cirka 80 procent av registerposterna berördes

Registret innehåller uppgifter om omkring 11 miljoner personer. Med cirka 8,8 miljoner berörda omfattar dataintrånget i Danmarks befolkningsregister ungefär 80 procent av det totala antalet.

Myndigheterna uppger dock att incidenten inte påverkade alla i systemet.

Den obehöriga aktiviteten inträffade i september 2026. CPR-administratörerna fick kännedom om intrånget den 2 oktober och fastställde dess ungefärliga omfattning under den efterföljande helgen.

Myndigheterna blockerade därefter det privata företagets åtkomst för att förhindra fortsatt användning av anslutningen. Samtidigt pågår fortfarande polisutredningen.

Regeringen inför ytterligare säkerhetsåtgärder

Christina Egelund, Danmarks minister för forskning, utbildning och digitalisering, beskrev incidenten som ytterst allvarlig. Hon informerade också Folketingets näringslivs- och digitaliseringsutskott.

Enligt Egelund samarbetar berörda myndigheter för att fastställa intrångets fullständiga omfattning.

Myndigheterna har också infört ytterligare säkerhetsåtgärder som ska förhindra liknande incidenter. Meddelandet innehöll dock inga tekniska detaljer om dessa förändringar.

Det kvarstår därför frågor om den ursprungliga komprometteringen och den fullständiga omfattningen av den information som angriparna kom över.

Invånare varnas för trovärdiga bedrägerimeddelanden

Myndigheterna uppmanade invånarna att vara vaksamma på oönskade telefonsamtal, e-postmeddelanden och annan kommunikation efter intrånget.

Att någon känner till en persons namn, adress eller CPR-nummer bevisar i synnerhet inte att en uppringare eller avsändare är legitim. Angripare kan använda de exponerade uppgifterna för att få bedrägliga meddelanden att framstå som mer trovärdiga.

Den officiella vägledningen varnar människor för att någonsin lämna ut lösenord eller annan konfidentiell information som svar på sådan kontakt.

Samtidigt erbjuder en särskild cyberjour hjälp till personer som kan ha drabbats. Myndigheterna har också gjort vägledning tillgänglig via Danmarks nationella webbplats för digital säkerhet.