Registrul populației din Danemarca: 8,8 milioane de persoane expuse printr-un acces legitim al unui furnizor. Ce este confirmat și ce nu

• Comunicatul ministerului din 5 octombrie spune că administrația CPR a constatat accesul neautorizat la nume, adrese și numere CPR pentru circa 8,8 milioane de persoane înregistrate: în viață, plecate din țară și decedate. Registrul conține circa 11 milioane de persoane, iar Danemarca are circa 6 milioane de locuitori, potrivit Bloomberg și The Record.
• Metoda: abuzul accesului legitim al unei companii private daneze la căutările în CPR. Compania nu este numită. Accesul ei a fost oprit, Autoritatea pentru protecția datelor (Datatilsynet) a fost notificată, iar poliția investighează.
• Calendar: administrația a aflat seara de vineri, 2 octombrie, despre activitate neobișnuită din luna septembrie; în weekend a stabilit amploarea. Ministerul spune că cifrele pot fi rafinate pe măsură ce faptele sunt clarificate și că nu se poate spune încă cine este în spate.
• Persoanele cu protecție de nume și adresă nu sunt incluse, spune comunicatul ministerului. Surse secundare (The Record, BleepingComputer) nu repetă acest detaliu, așa că îl atribuim ministerului.
• Ministra Christina Egelund a numit incidentul „foarte grav”, a cerut o revizuire completă a securității sistemului CPR, iar comisia parlamentară pentru afaceri și digitalizare a fost informată. Publicul este îndemnat să nu dezvăluie parole sau informații confidențiale prin telefon sau e-mail, chiar dacă interlocutorul îi știe numele, adresa și numărul CPR. Linia de asistență pentru securitate digitală și-a extins programul.

• BleepingComputer și The Record relatează că Datatilsynet a descris un număr foarte mare de căutări automate menite să identifice numere CPR valide, urmate de extragerea datelor asociate. BleepingComputer notează că nu este explicat cum a fost compromis accesul companiei.
• The Next Web scrie, cu referire la conferința de presă din 6 octombrie, că abuzul a fost descoperit prin facturare: companiile plătesc per căutare, iar factura pentru septembrie a fost neobișnuit de mare. Același text vorbește de peste 14 milioane de încercări de căutare, dintre care circa 8,8 milioane au returnat o înregistrare, într-o fereastră de circa zece zile. Sunt cifre raportate de un singur articol, nu din comunicatul ministerului.
• Aceeași sursă spune că sistemele care folosesc MitID, de exemplu cele din sănătate, nu ar fi fost afectate, iar agenția daneză pentru securitatea societății (Styrelsen for Samfundssikkerhed) a cerut companiilor și autorităților să nu mai accepte numărul CPR singur ca dovadă de identitate. Tratăm ambele ca raportate.
• DI Digital, o organizație patronală daneză, notează că accesul companiilor private la CPR a fost închis temporar și redeschis pe 5 octombrie și amintește un incident anterior, din decembrie 2025, în care un cont demo al unei platforme de salarizare ar fi fost folosit pentru circa 90.000 de căutări neautorizate. Este context din ghidul unei organizații, nu o constatare oficială.

• Parola „123456”: Politiken, preluat de TT, relatează că un hacker anonim susține că a intrat folosind parola „123456”, scursă, a unui fost angajat al unei firme mici daneze. Hackerul ar fi distribuit un fișier cu peste 8,7 milioane de numere CPR și spune că nu vrea să le vândă sau să le publice. Experții intervievați de ziar consideră probabil că persoana a fost implicată, dar nu sunt numiți. Versiunea guvernului nu menționează o parolă. Rămâne afirmație.
• Cine a făcut-o, cu ce motiv și dacă datele circulă: necunoscute. Poliția spune că nimeni nu a fost identificat sau acuzat, potrivit surselor citate.
• Dacă firma a acționat cu știință sau a fost victima unui furt de credențiale: necunoscut, iar ministerul nu a spus.
• Cifra finală: ministerul avertizează că poate fi schimbată.

Nu putem spune dacă și cum ar fi afectate persoane din România. Nu am găsit nimic în sursele citate despre cetățeni români, iar registrul este danez. Lecția este despre arhitectura accesului, nu despre geografie.

Orice organizație care expune date de identificare către parteneri, procesatori sau instituții ajunge în aceeași situație: o parte terță are credențiale legitime, iar o singură credențială abuzată poate extrage un volum mare, fără să „spargă” nimic. Cea mai ieftină apărare este să observi ritmul de interogare înainte să ți-l arate factura.

• Inventariază accesele externe la registre, baze de clienți și API-uri cu date personale: directe și prin furnizori, inclusiv conturi de test, demo și oaspeți. Un cont demo cu acces la date reale este o ușă lăsată deschisă.
• Cere pentru fiecare acces un responsabil numit, o listă a persoanelor și sistemelor autorizate și o dată de încetare. Scoate imediat accesul foștilor angajați și al colaboratorilor.
• Nu lăsa parole statice. Cere autentificare multifactor rezistentă la phishing pentru persoane și certificate sau token-uri pentru sisteme, plus restricție la adrese IP fixe.
• Setează plafoane de interogări pe oră și pe utilizator și alerte pe abateri. Dacă prima alarmă este factura lunară, ai aflat târziu. Ghidul DI Digital recomandă monitorizare pe oră și pe zi, nu doar lunară.
• Permite căutări doar pentru persoane cu care ai o relație existentă, verificată în propriul registru de clienți sau angajați. O căutare „în masă” nu are explicație comercială.
• Scrie în contracte cerințe de jurnalizare per utilizator, monitorizare, restricție IP și notificare a incidentelor, cu termene. Cere dovezi, nu doar declarații.
• Nu accepta un număr de identificare singur ca dovadă de identitate: cere un al doilea factor sau o reapelare pe un canal cunoscut. Aceasta este o practică generală, în linie cu îndemnul autorităților daneze. Există un echivalent și în România, unde CNP-ul circulă larg; nu am găsit însă în surse nimic despre CNP legat de acest incident.
• Pregătește planul de abuz înainte: cine oprește accesul, cine contactează furnizorul, cine păstrează jurnalele înainte să fie suprascrise, cine decide notificarea.

Dacă un incident de acest tip afectează date personale pe care le gestionezi, GDPR (art. 33) cere notificarea autorității de supraveghere, în România ANSPDCP, fără întârzieri nejustificate și, dacă este posibil, în 72 de ore de la luarea la cunoștință, cu excepția cazului în care este improbabil să existe un risc pentru persoane. Entitățile esențiale și importante sub NIS2 au și termenele de 24 de ore pentru avertizarea timpurie și 72 de ore pentru raportul inițial. Care regim se aplică, și cui, depinde de situația fiecărei organizații; verifică împreună cu juristul sau responsabilul cu protecția datelor.

Pentru persoanele ale căror date ar putea fi folosite abuziv, include în comunicările către clienți și angajați un avertisment simplu: apelurile și mesajele care „știu” numele, adresa și numărul de identificare nu sunt dovadă de legitimitate.

Comunicatul ministerului este sursa primară pentru fapte și cifre. Presa internațională îl coroborează și adaugă declarații ale Datatilsynet. Detaliile despre factură, cele 14 milioane de căutări și parola sunt cu atât mai fragile cu cât vin dintr-un singur loc. Nu le repeta ca fapte.

Awarely Monitor poate ajuta la ținerea evidenței expunerilor tehnice și a priorităților de remediere, iar Awarely Learning la exercițiile pentru conducere și achiziții: cine are acces la ce, cine observă un vârf de interogări și cine decide să închidă accesul. Articolul nu este consultanță juridică și nu garantează conformitatea.