Утечку данных 8,8 млн человек в Центральном реестре физических лиц Дании (CPR) устроил хакер, получивший доступ через аккаунт небольшой IT-компании Pays ApS. Как минимум три учётные записи фирмы, включая администраторскую, защищал один и тот же пароль — «123456». Взлом заметили только спустя 12 дней.
Атака началась 10 сентября. Злоумышленник написал скрипты, которые перебирали номера CPR и сохраняли найденные записи. Всего они отправили около 14 млн запросов. Записи нашлись для 8,75 млн номеров: примерно 5,5 млн живых людей и 3,3 млн умерших. Наружу ушли имена, адреса и идентификационные номера. Для сравнения: в самой Дании живут около 6 млн человек, а в реестре хранится примерно 11 млн записей, включая умерших и уехавших из страны. Граждан со скрытым именем и адресом утечка не затронула.
Хакер рассказал газете Politiken, что получил пароль от бывшего сотрудника компании Pays ApS из Оденсе. По данным датского издания Ingeniøren, простой пароль защищал как минимум три учётные записи фирмы, включая администраторскую. На июль 2026 года в Pays ApS числились всего два сотрудника.
Взлом обнаружили только 2 октября — через 12 дней после последних подозрительных запросов. Помог счёт за обращения к реестру: в министерстве обратили внимание на огромную сумму за сентябрь. 4 октября о происшествии уведомили Датское агентство по защите данных, 5 октября администрация реестра подтвердила утечку, а 9 октября Pays ApS признала, что её доступ скомпрометирован. В общей сложности доступ у злоумышленника был 21 день.
Министр науки, образования и цифровых дел Кристина Эгелунд назвала инцидент «глубоко серьёзным» и распорядилась проверить защиту системы.
IT-эксперт Петер Крюсе оценил безопасность Pays ApS в 1 балл из 10. «Это вопиющее нарушение любой хорошей практики безопасности с таким чудовищно плохим паролем, который в принципе можно было бы угадать, даже если бы вы его не знали», — сказал он. Крюсе также отметил отсутствие двухфакторной аутентификации и удивился, что 14 миллионов запросов за 10 дней не вызвали автоматической блокировки: «Это безумие». По его мнению, требования властей к компаниям с доступом к CPR «явно не существуют».
Сам злоумышленник утверждает, что не собирается продавать или публиковать данные. Он сравнил ситуацию с тем, как «кто-то оставил на вокзале без присмотра чемодан с 10 килограммами плутония, а потом его украл бездомный». Датские власти не подтвердили независимо ни его личность, ни заявленное количество извлечённых записей.