CPR danez: 8,8 milioane de persoane, prin accesul unei firme

Acum câteva zile am scris despre accesul neautorizat la registrul central al populației din Danemarca, CPR, și despre recomandările autorităților privind verificarea identității. Acum se știe și cum s-a produs accesul: cei implicați nu au spart sistemul, ci au folosit accesul legitim al unei firme private daneze autorizate să consulte registrul. Potrivit publicațiilor care au urmărit cazul, au fost făcute peste 14 milioane de căutări, care au returnat datele a aproximativ 8,8 milioane de persoane.

Pentru cei care se ocupă de securitate, cazul privește o temă precisă: controlul accesului acordat furnizorilor și partenerilor.

Ce s-a întâmplat

Comunicatul ministerului danez responsabil de digitalizare, din 5 octombrie 2026, arată că administrația CPR a observat o activitate neregulată pe 2 octombrie și a stabilit amploarea accesului în weekend. Căutările au avut loc în septembrie: potrivit CSO Online, au durat circa 10 zile.

Datele expuse indicate de minister sunt nume, adrese și numere CPR. Numărul persoanelor afectate depășește populația Danemarcei, de aproximativ 6 milioane, deoarece registrul conține circa 11 milioane de înregistrări, inclusiv persoane decedate sau plecate în străinătate. În CPR sunt înregistrate și peste 55.000 de persoane care locuiesc în Groenlanda și folosesc numărul CPR pentru sănătate, taxe și bănci. Ministerul precizează că numele și adresele persoanelor care au cerut protecția adresei nu au fost expuse.

Accesul firmei, care nu a fost numită, a fost blocat. Autoritatea daneză pentru protecția datelor a fost informată, iar poliția investighează: CSO Online menționează unitatea națională pentru infracțiuni speciale. Responsabilii nu au fost identificați și este în curs o revizuire mai amplă a securității sistemului CPR.

Detalii tehnice: un acces legitim folosit peste măsură

Punctul central se află în comunicatul ministerului: persoanele neautorizate au folosit accesul legal al unei firme private pentru a căuta informații în CPR în limitele datelor permise firmelor private. Cu alte cuvinte, căutările nu au depășit permisiunile contului: volumul lor a fost anormal.

Firmele private pot primi date din CPR în baza legii daneze privind registrul civil și a condițiilor de acces ale ministerului. După cum relatează The Register, aceste condiții prevăd că accesul privește un grup de persoane definit și identificat în prealabil și că destinatarul datelor trebuie să aibă dreptul să le prelucreze conform GDPR. Sursele nu explică cum a putut un singur cont să facă milioane de căutări; The Register a cerut lămuriri ministerului.

Pe baza a ceea ce se știe până acum, schema se încadrează în două tehnici MITRE ATT&CK: Valid Accounts (T1078), adică folosirea unor credențiale sau accese valide, și Trusted Relationship (T1199), adică intrarea printr-un terț cu acces legitim. Nu există CVE și nici indicatori de compromitere publici.

Ce rămâne de lămurit

Sursele nu spun cum a fost obținut accesul firmei. The Register vorbește despre abuzul accesului legitim, CSO Online despre credențiale de acces exploatate de terți: niciuna nu indică dacă e vorba de credențiale furate, de un cont compromis sau de un abuz din interior. Ministra digitalizării, Christina Egelund, a descris firma drept „mică” și a spus că este prea devreme pentru a decide dacă vor fi atribuite numere CPR noi, una dintre soluțiile propuse.

Impactul pentru companiile europene și italiene

Cazul arată un risc care privește orice organizație: un furnizor cu acces la un sistem sensibil poate deveni calea de intrare fără a ocoli niciun control tehnic, pentru că accesul este legitim. Acest lucru este valabil atât pentru marile registre publice, cât și pentru ERP-urile, CRM-urile și platformele de date ale companiilor deschise partenerilor, consultanților și integratorilor.

Pentru entitățile NIS2, securitatea lanțului de aprovizionare și controlul accesului se numără printre măsurile de gestionare a riscurilor cerute de directivă. În sănătate, unde furnizorii accesează adesea date ale pacienților, tema este și mai delicată.

Mai există și efectul ulterior, deja tratat în primul nostru articol: datele personale sustrase pot fi folosite pentru fraude și pentru a ocoli verificări de identitate slabe. Autoritățile daneze cer să nu se bazeze nimeni doar pe numărul CPR și să folosească MitID, autentificarea în doi pași sau coduri unice. În Italia, la fel se aplică pentru nume, adresă și codul fiscal: nu sunt un secret.

Ce să faci imediat

1. Fă inventarul accesului terților: ce furnizori și parteneri accesează ce sisteme și date, cu ce conturi și de la ce adrese.
2. Limitează accesul la ce este necesar: pentru fiecare furnizor, stabilește ce date poate vedea și, unde se poate, despre ce persoane sau dosare, așa cum prevăd în teorie condițiile CPR.
3. Pune limite de volum: stabilește praguri de frecvență pentru interogări și API-uri și blochează sau semnalează conturile care le depășesc.
4. Cunoaște comportamentul normal: înregistrează câte căutări face de obicei fiecare cont extern și verifică vârfurile, căutările în afara programului și interogările în serie.
5. Întărește autentificarea: autentificare cu mai mulți factori, sesiuni scurte și credențiale proprii pentru fiecare utilizator al furnizorului, nu conturi partajate.
6. Revizuiește furnizorii în timp, nu doar la începutul contractului, și prevede în planul de răspuns la incidente cum revoci rapid un acces extern.

Cum ajută ARXDOME

ARX Sentry colectează loguri și evenimente de la servere și firewall-uri și, în paginile SOC dedicate identităților, arată accesările, accesările privilegiate, accesările de noapte și rafalele de încercări: date utile pentru a ține sub observație conturile folosite de furnizori și parteneri. ARX Retain păstrează logurile pe durata cerută, astfel încât într-o investigație poți reconstitui ce a făcut un cont și când.

Ultima actualizare: 7 octombrie 2026