CPR danese: 8,8 milioni di record dall’accesso di un’azienda

Nei giorni scorsi abbiamo raccontato l’accesso non autorizzato al registro centrale della popolazione danese, il CPR, e le raccomandazioni delle autorità sui controlli d’identità. Ora si conosce anche come è avvenuto l’accesso: chi ha agito non ha forzato il sistema, ma ha usato l’accesso legittimo di un’azienda privata danese autorizzata a consultare il registro. Secondo le testate che hanno seguito il caso, le ricerche sono state oltre 14 milioni e hanno restituito i dati di circa 8,8 milioni di persone.

Per chi si occupa di sicurezza il caso riguarda un tema preciso: il controllo degli accessi concessi ai fornitori e ai partner.

Cosa è successo

Il comunicato del ministero danese competente per la digitalizzazione, del 5 ottobre 2026, riferisce che l’amministrazione del CPR ha notato un’attività irregolare il 2 ottobre e ha stabilito nel fine settimana la portata dell’accesso. Le ricerche risalgono a settembre: secondo CSO Online sono durate circa 10 giorni.

I dati esposti indicati dal ministero sono nomi, indirizzi e numeri CPR. Il numero delle persone coinvolte supera la popolazione danese, di circa 6 milioni, perché il registro contiene circa 11 milioni di record, comprese le persone decedute o trasferite all’estero. Nel CPR sono registrate anche oltre 55.000 persone residenti in Groenlandia, che usano il numero CPR per sanità, fisco e banche. Il ministero precisa che nomi e indirizzi di chi ha chiesto la protezione dell’indirizzo non sono stati esposti.

L’accesso dell’azienda, che non è stata nominata, è stato bloccato. L’autorità danese per la protezione dei dati è stata informata e indaga la polizia: CSO Online indica l’unità nazionale per i reati speciali. I responsabili non sono stati identificati ed è in corso una revisione più ampia della sicurezza del sistema CPR.

Dettagli tecnici: un accesso legittimo usato fuori misura

Il punto centrale è nel comunicato del ministero: le persone non autorizzate hanno usato l’accesso legale di un’azienda privata per cercare informazioni nel CPR entro i limiti dei dati consentiti alle aziende private. In altre parole, le ricerche non hanno superato i permessi dell’account: è stato il loro volume a essere anomalo.

Le aziende private possono ricevere dati dal CPR in base alla legge danese sul registro civile e alle condizioni d’accesso del ministero. Come riporta The Register, quelle condizioni prevedono che l’accesso riguardi un gruppo di persone definito e identificato in anticipo, e che chi riceve i dati sia autorizzato a trattarli secondo il GDPR. Le fonti non spiegano come un solo account abbia potuto fare milioni di ricerche; The Register ha chiesto chiarimenti al ministero.

Con quanto noto finora, lo schema rientra in due tecniche MITRE ATT&CK: Valid Accounts (T1078), cioè l’uso di credenziali o accessi validi, e Trusted Relationship (T1199), cioè il passaggio da un soggetto terzo che ha un accesso legittimo. Non ci sono CVE né indicatori di compromissione pubblici.

Cosa resta da chiarire

Le fonti non dicono come sia stato ottenuto l’accesso dell’azienda. The Register parla di abuso dell’accesso legittimo, CSO Online di credenziali d’accesso sfruttate da terzi: nessuna indica se si tratti di credenziali rubate, di un account compromesso o di un abuso interno. La ministra della Digitalizzazione Christina Egelund ha descritto l’azienda come «piccola» e ha detto che è presto per decidere se assegnare nuovi numeri CPR, una delle soluzioni proposte.

Impatto per le aziende europee e italiane

Il caso mostra un rischio che riguarda ogni organizzazione: un fornitore con accesso a un sistema sensibile può diventare la via d’ingresso, senza superare nessun controllo tecnico, perché l’accesso è legittimo. Vale per i grandi archivi pubblici come per i gestionali, i CRM e le piattaforme dati delle aziende aperti a partner, consulenti e integratori.

Per i soggetti NIS2 la sicurezza della catena di approvvigionamento e il controllo degli accessi sono tra le misure di gestione del rischio previste dalla direttiva. Nella sanità, dove i fornitori accedono spesso a dati dei pazienti, il tema è ancora più delicato.

C’è poi l’effetto a valle, già trattato nel nostro primo articolo: i dati anagrafici sottratti possono servire per truffe e per aggirare controlli d’identità deboli. Le autorità danesi chiedono di non basarsi solo sul numero CPR e di usare MitID, l’autenticazione a due fattori o codici monouso. In Italia lo stesso vale per nome, indirizzo e codice fiscale: non sono un segreto.

Cosa fare subito

1. Fai l’inventario degli accessi dei terzi: quali fornitori e partner accedono a quali sistemi e dati, con quali account e da quali indirizzi.
2. Limita l’accesso a ciò che serve: per ogni fornitore definisci quali dati può vedere e, dove possibile, su quali persone o pratiche, come prevedono in teoria le condizioni del CPR.
3. Metti limiti di volume: imposta soglie di frequenza sulle interrogazioni e sulle API, e blocca o segnala gli account che le superano.
4. Conosci il comportamento normale: registra quante ricerche fa di solito ogni account esterno e controlla i picchi, le ricerche fuori orario e le interrogazioni in sequenza.
5. Rafforza l’autenticazione: autenticazione a più fattori, sessioni brevi e credenziali dedicate per ogni utente del fornitore, non account condivisi.
6. Rivedi i fornitori nel tempo, non solo all’avvio del contratto, e prevedi nel piano di risposta agli incidenti come revocare rapidamente un accesso esterno.

Come aiuta ARXDOME

ARX Sentry raccoglie log ed eventi di server e firewall e, nelle pagine del SOC dedicate alle identità, mostra accessi, accessi privilegiati, accessi notturni e raffiche di tentativi: dati utili per tenere sotto osservazione gli account usati da fornitori e partner. ARX Retain conserva i log per gli anni richiesti, così in caso di indagine si può ricostruire che cosa ha fatto un account e quando.

Ultimo aggiornamento: 7 ottobre 2026