Denemarken onderzoekt een grootschalige datalek nadat ongeautoriste personen toegang kregen tot persoonlijke informatie van ongeveer 8,8 miljoen mensen in het Centraal Personenregister van het land, bekend als CPR.
De blootgestelde informatie omvat namen, adressen en CPR-nummers, de unieke persoonlijke identificatienummers van Denemarken. De gegevens betreffen niet alleen huidige inwoners, maar ook mensen die naar het buitenland zijn verhuisd en degenen die zijn overleden, wat verklaart waarom het aantal getroffenen groter is dan de bevolking van Denemarken.
De aanvallers braken niet direct in het CPR-systeem. In plaats daarvan maakten ze misbruik van de legitieme toestemming van een particulier Deens bedrijf om de nationale database te doorzoeken en voerden ze een groot aantal geautomatiseerde zoekopdrachten uit.
Het Deense Dataagentschap verklaarde dat de activiteit lijkt te zijn ontworpen om geldige CPR-nummers te identificeren. De autoriteiten hebben het bedrijf waarvan de toegang is misbruikt niet openbaar bekendgemaakt.
Mensen die geregistreerd stonden met naam- en adresbescherming werden gedeeltelijk beschermd tegen het incident. Volgens het eerste onderzoek van de overheid werden hun beschermde namen en adressen niet blootgesteld via de ongeautoriseerde doorzoekingen.
De verdachte activiteit vond plaats in september en werd op 2 oktober door de CPR-administratie gedetecteerd. De toegang van het bedrijf tot de database is sindsdien uitgeschakeld terwijl autoriteiten en cybersecurityspecialisten onderzoeken hoe het incident heeft plaatsgevonden.
De Deense minister van Hoger Onderwijs, Onderzoek en Digitalisering, Christina Egelund, omschreef het incident als uiterst ernstig en beval een bredere veiligheidsherziening van het CPR-systeem. Er worden al aanvullende maatregelen genomen om soortgelijk misbruik te voorkomen.
De inbreuk wekt bijzondere zorgen over phishing en identiteitsfraude, omdat criminelen het CPR-nummer van een persoon kunnen combineren met hun naam en adres om oplichting overtuigender te laten lijken. Deense autoriteiten waarschuwen mensen om geen wachtwoorden of andere vertrouwelijke informatie te verstrekken alleen omdat een beller of e-mailafzender hun persoonlijke gegevens al kent.
Het incident is gemeld bij het Deense Gegevensbeschermingsagentschap, terwijl de politie een apart onderzoek uitvoert. De autoriteiten hebben nog niet vastgesteld wie verantwoordelijk was of bekendgemaakt wat de aanvallers van plan waren met de informatie die ze verkregen hadden.