Пробив в CPR на Дания: 8,8 млн. засегнати

Дания потвърди най-големия пробив в данните на своя централен регистър на населението. На 5 октомври CPR-администрацията и Министерството на изследванията, образованието и дигитализацията съобщиха, че неизвестни лица са получили неоторизиран достъп до имена, адреси и CPR номера на около 8,8 милиона регистрирани лица. Нападателите не са разбили системата — използвали са легитимния достъп на частна датска фирма.

Какво точно се е случило

CPR (Det Centrale Personregister) е централният регистър на населението на Дания и съдържа данни за близо 11 милиона записа — живи граждани, емигрирали и починали лица. Затова и числото 8,8 милиона е по-голямо от населението на страната, което е малко над 6 милиона души. Засегнати са около четири от всеки пет записа в регистъра.

Според Datatilsynet атаката е протекла чрез автоматизирани заявки: нападателите са изброявали валидни 10-цифрени CPR номера, а след това са извличали свързаните с всеки запис данни. Точно този достъп фирмата е имала по закон — проблемът е, че никой не е ограничил обема на справките. Министерството призна, че защитите около този тип достъп „не са били достатъчно солидни“, пише The Hacker News.

Неоторизираната активност е продължила около 10 дни през септември 2026 г. CPR-администрацията е забелязала нередовните справки вечерта на петък, 2 октомври, и е блокирала достъпа на фирмата. Името на компанията не е оповестено, тъй като случаят е в полицейско разследване.

Снимка: Uddannelses- og Forskningsministeriet

Какви данни са изтекли

Потвърденият обхват е имена, адреси и CPR номера. The Copenhagen Post добавя, че записите в CPR включват и дата на раждане, семейно положение, роднински връзки, църковна принадлежност и данни за настойничество.

Една група е извадила късмет: хората с регистрирана защита на име и адрес (navne- og adressebeskyttelse) не са засегнати — техните имена и адреси не са били върнати от системата.

Реакцията на Копенхаген

Кристина Егелун, министър на изследванията, образованието и дигитализацията, определи случая като „дълбоко сериозен инцидент“ и информира Комисията по бизнес и дигитализация на Фолкетинга. Мерките дотук:

• достъпът на компрометираната фирма е спрян;
• случаят е докладван на Datatilsynet и е подаден сигнал до полицията;
• поръчан е цялостен одит на сигурността на CPR;
• датската Cyberhotline (+45 33 37 00 37) работи с удължени часове от 8:00 до 24:00;
• съветите за гражданите са публикувани на sikkerdigital.dk.

Пред DR професор нарече случая „най-големият пробив някога срещу датския CPR регистър“. Телевизия TV 2 вече разказа за жена, с чийто CPR номер измамници са поръчали стоки за хиляди крони.

Защо CPR номерът е особено чувствителен

В Дания CPR номерът се ползва навсякъде — от лекарския кабинет до банката и онлайн магазина. Той не е таен по дизайн, но на практика десетки услуги го третират като идентификатор, който „само вие знаете“. Изтичането на 8,8 милиона такива номера заедно с имена и адреси дава на измамниците точно комбинацията, с която минават през телефонна проверка на самоличност или поръчват на изплащане.

Затова и най-вероятните последствия няма да са технически, а социални: вълна от фишинг и телефонни обаждания, в които човекът отсреща знае адреса и номера ви. BleepingComputer отбелязва, че властите вече предупреждават за точно този сценарий.

Заключение

Случаят в Дания е показателен за една тенденция: при добре защитени държавни системи най-слабото място е оторизираният трети партньор. Същият модел видяхме и при задържането на хакера Rey от ShinyHunters, и при закърпения zero-day в SAML модула на NetScaler — атаката минава през вратата, която някой вече е отворил законно.

Какво следва: одитът на CPR ще покаже дали ще въведат лимити на справките и наблюдение на аномалии в реално време, а разследването на Datatilsynet ще отговори на по-неудобния въпрос — дали фирмата носи отговорност по GDPR за достъпа, който е загубила контрол над. Ако живеете или сте живели в Дания, следете sikkerdigital.dk и приемайте всяко обаждане с вашия CPR номер като подозрително.