La Danimarca sta indagando su una massiccia violazione dei dati dopo che individui non autorizzati hanno ottenuto accesso a informazioni personali appartenenti a circa 8,8 milioni di persone nel Registro Centrale delle Persone del paese, noto come CPR.
Le informazioni esposte includono nomi, indirizzi e numeri CPR, i numeri di identificazione personali unici della Danimarca. I registri coprono non solo i residenti attuali ma anche le persone che si sono trasferite all’estero e quelle decedute, spiegando perché il numero colpito è superiore alla popolazione danese.
Gli aggressori non sono riusciti a penetrare direttamente nel sistema CPR. Invece, hanno abusato dell’autorizzazione legittima di un’azienda privata danese per cercare nel database nazionale ed effettuato un gran numero di richieste automatiche.
L’Agenzia per la Protezione dei Dati della Danimarca ha dichiarato che l’attività sembra essere stata progettata per identificare numeri RCP validi. Le autorità non hanno identificato pubblicamente l’azienda il cui accesso è stato usato in modo improprio.
Le persone registrate con protezione per nome e indirizzo erano parzialmente proteggite dall’incidente. Secondo l’indagine iniziale del governo, i loro nomi e indirizzi protetti non sono stati esposti attraverso le perquisizioni non autorizzate.
L’attività sospetta si è verificata a settembre ed è stata rilevata dall’amministrazione della CPR il 2 ottobre. L’accesso dell’azienda al database è stato successivamente disabilitato mentre le autorità e gli specialisti della cybersecurity indagano su come sia avvenuto l’incidente.
La Ministra danese dell’Istruzione Superiore, della Ricerca e della Digitalizzazione, Christina Egelund, ha definito l’incidente estremamente grave e ha ordinato una revisione più ampia della sicurezza del sistema CPR. Ulteriori misure sono già in fase di introduzione per prevenire un uso improprio simile.
La violazione genera particolari preoccupazioni riguardo a phishing e frode d’identità perché i criminali potrebbero combinare il numero RCP di una persona con il suo nome e indirizzo per rendere le truffe più convincenti. Le autorità danesi stanno avvertendo le persone di non fornire password o altre informazioni riservate semplicemente perché un chiamante o un mittente di email conosce già i loro dati personali.
L’incidente è stato segnalato all’Agenzia per la Protezione dei Dati della Danimarca, mentre la polizia sta conducendo un’indagine separata. Le autorità non hanno ancora identificato chi fosse responsabile né hanno rivelato cosa intendessero fare gli aggressori con le informazioni a cui hanno accesso.