Denmark population registry data breach affects 8.8 million people
Mis à jour :
Violation massive du registre civil danois (CPR)
Le registre central de la population danoise (CPR) a subi une intrusion majeure compromettant les données personnelles de 8,8 millions de personnes, incluant les résidents actuels, les expatriés et les personnes décédées.
Points clés :
- Nature de l’incident : Utilisation abusive des accès légitimes accordés à une entreprise privée tierce.
- Données exposées : Noms, adresses, dates de naissance, état civil et numéros d’identification CPR uniques.
- Méthodologie : Les attaquants ont utilisé des techniques de force brute pour énumérer des numéros CPR valides afin d’extraire les informations associées dans le système.
- Chronologie : L’incident s’est produit en septembre 2026, découvert le 2 octobre 2026.
Vulnérabilités :
- Absence de CVE spécifique : L’incident découle d’un abus d’accès légitime couplé à une exploitation par force brute (énumération), révélant une faille dans le contrôle des accès et la limitation des requêtes API/système pour l’entreprise tierce.
Recommandations :
- Pour les autorités : Blocage immédiat de l’accès de l’entreprise compromise et mise en œuvre de mesures de sécurité renforcées (contrôle d’accès et surveillance accrue).
- Pour les citoyens : Vigilance accrue face aux communications non sollicitées (hameçonnage). Ne jamais divulguer de mots de passe ou d’informations confidentielles, même si l’interlocuteur dispose déjà de données personnelles (nom, adresse, numéro CPR).
- Support : Utilisation de la « cyber hotline » dédiée et consultation du portail sikkerdigital.dk pour obtenir de l’aide.