TL;DR : L’essentiel
- L’auteur revendiqué de l’intrusion affirme avoir utilisé la combinaison 123456 sur trois comptes distincts de l’entreprise prestataire.
- Les autorités danoises ont validé l’extraction massive sans confirmer l’existence de cette faiblesse liée aux mots de passe.
- La détection de l’accès abusif est intervenue douze jours après les requêtes, à la suite d’un rapport signalant une activité anormale.
Le 5 octobre 2026, l’administration du registre central des personnes du Danemark, le CPR, a confirmé une intrusion touchant les données de 8,8 millions de personnes. Selon The Register, l’accès légitime accordé à une entreprise informatique danoise, Pays ApS, a fait l’objet d’un usage abusif. Entre le 10 septembre 2026 et le 20 septembre 2026, l’auteur des faits a exécuté 14 millions de recherches automatisées sur cette base qui compte environ 11 millions de fiches, incluant des personnes décédées ou installées à l’étranger.
La méthode d’accès fait l’objet d’affirmations non corroborées par les autorités. Une personne revendiquant la responsabilité de l’attaque a déclaré au média Politiken avoir pénétré le système grâce au mot de passe « 123456 », partagé par trois comptes de l’entreprise dont un profil administrateur. Le gouvernement danois n’a pas répondu aux interrogations concernant ces défaillances supposées d’authentification, tandis que la direction de Pays ApS a confirmé le 9 octobre 2026 l’exploitation de ses accès avant de mettre son site internet hors ligne.
L’intrusion a été décelée avec un décalage temporel important par rapport aux flux informatiques. Le 2 octobre 2026, soit douze jours après les dernières requêtes, un membre du personnel du ministère de l’Enseignement supérieur et de la Recherche a repéré un rapport indiquant un volume d’activité inhabituel chez son prestataire IT. L’autorité de protection des données, Datatilsynet, a reçu une notification le 4 octobre 2026, la veille de l’annonce officielle d’un incident qui a exposé la quasi-totalité des dossiers du registre.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Pour approfondir le sujet
Danemark : l'état civil CPR expose près de 9 millions de profils
Un accès légitime détourné a compromis 80 % des fiches du registre danois. Le gouvernement invite à bloquer préventivement les crédits bancaires. Lire la suite
Zéro paywall. Zéro pub.
DCOD reste en accès libre grâce à vos contributions.
