Danimarca: accesso non autorizzato al CPR e controlli d’identità

Il 5 ottobre 2026 le autorità danesi hanno reso noto un grave incidente di sicurezza nel registro centrale della popolazione, il CPR (Det Centrale Personregister). Persone non autorizzate hanno ottenuto l’accesso a nomi, indirizzi e numeri CPR, oltre ad altri dati, di una quantità molto grande di cittadini registrati. Il giorno dopo l’agenzia danese Styrelsen for Samfundssikkerhed (SAMSIK), di cui fa parte il centro nazionale per la cybersicurezza CFCS, ha chiesto a enti pubblici, organizzazioni e aziende di rivedere subito i controlli d’identità basati su quei dati.

Per chi gestisce sicurezza e processi in azienda il punto tecnico è questo: un dato anagrafico, anche ufficiale, non è un fattore di autenticazione. Quando finisce in mano a terzi, ogni processo che lo usa come prova d’identità diventa aggirabile.

Cosa è successo

Secondo l’avviso di SAMSIK del 5 ottobre, a comunicare l’incidente è stato il ministero danese della Ricerca, dell’Istruzione e della Digitalizzazione (Forsknings-, Uddannelses- og Digitaliseringsministeriet), con un comunicato stampa. L’accesso è avvenuto attraverso il sistema CPR ed è stato definito non autorizzato.

L’avviso sottolinea che i dati personali possono essere usati per tentativi di truffa e invita enti e cittadini alla prudenza. Per i cittadini rimanda ai consigli del portale nazionale Sikkerdigital.dk.

Il 6 ottobre SAMSIK ha pubblicato un secondo avviso, rivolto a enti pubblici, organizzazioni e aziende: nessuna informazione sensibile va più fornita solo sulla base dei dati del CPR.

Cosa si sa e cosa no

Gli avvisi pubblicati finora sono essenziali. Di seguito il quadro di quello che dicono e di quello che non dicono.

• Dati coinvolti: nomi, indirizzi e numeri CPR, con altri dati non specificati («mv.», cioè «eccetera», nel testo originale).
• Persone coinvolte: «una quantità molto grande» di cittadini registrati. Non è indicato un numero.
• Modalità di accesso: gli avvisi non descrivono il vettore, i tempi, né chi ha avuto accesso. Non ci sono CVE né indicatori pubblici.
• Rischio indicato dalle autorità: l’uso dei dati per truffe e per ottenere informazioni o modifiche a nome dei cittadini.

Mancando i dettagli sulla modalità dell’accesso, non è possibile una mappatura sulle tecniche MITRE ATT&CK. Le raccomandazioni di SAMSIK riguardano infatti il dopo: come evitare che i dati sottratti diventino una chiave per accedere ai servizi.

Le raccomandazioni di SAMSIK

L’agenzia chiede di prestare particolare attenzione a tutte le situazioni in cui numero CPR, nome o indirizzo servono a confermare l’identità di una persona. Come regola di partenza, il controllo deve basarsi su informazioni diverse da quelle del CPR, oppure sulla storia dei contatti tra la persona e l’ente o l’azienda. Vale soprattutto quando si condividono dati personali sensibili o quando la richiesta può avere conseguenze economiche per il cittadino.

In concreto, SAMSIK raccomanda di:

1. indirizzare la persona all’accesso autenticato su un sistema self-service, per esempio con MitID, l’identità digitale danese;
2. inviare un codice monouso a un numero di telefono o a un indirizzo email già registrati;
3. fare domande di controllo legate al rapporto specifico, non a dati che possono essere stati sottratti: per un’azienda il numero cliente, il numero di contratto o l’ultima fattura; per un ente pubblico l’indirizzo precedente o l’ultimo contatto e la pratica in corso;
4. richiamare la persona a un numero già registrato, non a quello comunicato durante il contatto;
5. chiedere la presenza fisica con un documento per modifiche particolari di natura economica o di sicurezza;
6. introdurre un controllo manuale o un periodo di attesa per le modifiche con effetti economici o di sicurezza.

Impatto per le aziende europee e italiane

L’incidente riguarda direttamente chi ha clienti, utenti o dipendenti in Danimarca: banche, assicurazioni, telco, utility, sanità ed e-commerce che verificano le persone con nome, indirizzo e numero CPR devono applicare subito le raccomandazioni.

Il principio però vale ovunque. Anche in Italia molti processi confermano l’identità con dati anagrafici: nome, indirizzo, data di nascita, codice fiscale. Succede nei call center, nelle chat di assistenza, agli sportelli e nell’help desk IT interno, quando un utente chiede di reimpostare la password o di registrare un nuovo dispositivo per l’autenticazione a più fattori. Sono dati che circolano in molti sistemi e documenti: non vanno trattati come un segreto.

Per i soggetti NIS2 il tema rientra nelle misure di gestione del rischio previste dalla direttiva, che comprendono le politiche di controllo degli accessi e l’autenticazione a più fattori. Nella sanità, dove le richieste riguardano spesso dati sanitari, il controllo dell’identità prima di comunicare informazioni è ancora più delicato.

Cosa fare subito

1. Fai l’inventario dei canali: telefono, email, chat, sportello, portali e help desk interno. Per ciascuno annota come viene verificata l’identità.
2. Individua i controlli deboli: segna i processi in cui bastano dati anagrafici per ottenere informazioni, cambiare un recapito, un IBAN o un indirizzo, reimpostare credenziali o fattori di autenticazione.
3. Applica i sei controlli di SAMSIK: accesso autenticato, codice monouso a un recapito già registrato, domande sul rapporto, richiamata, presenza fisica per i casi critici, controllo manuale o periodo di attesa.
4. Proteggi l’help desk IT: per la reimpostazione di password e MFA richiedi una verifica che non si basi su dati anagrafici, come la richiamata a un numero registrato o la conferma del responsabile.
5. Registra e controlla le modifiche: tieni traccia delle variazioni di recapiti, coordinate bancarie e account, e verifica quelle ravvicinate o insolite.
6. Prepara il personale: avvisa chi risponde ai clienti che sono possibili tentativi di truffa con dati personali veri.

Come aiuta ARXDOME

ARX Expose segnala gli account aziendali coinvolti in violazioni e i domini simili al tuo registrati da altri, spesso usati nelle truffe. ARX Sentry raccoglie i log di server e firewall e mostra nelle pagine del SOC accessi falliti, raffiche di tentativi e modifiche agli account, utili per accorgersi di una reimpostazione ottenuta con l’inganno.

Ultimo aggiornamento: 6 ottobre 2026