Danemarca: acces neautorizat la CPR și controalele de identitate

Pe 5 octombrie 2026 autoritățile daneze au anunțat un incident de securitate grav în registrul central al populației, CPR (Det Centrale Personregister). Persoane neautorizate au obținut acces la nume, adrese și numere CPR, printre alte date, ale unui număr foarte mare de cetățeni înregistrați. A doua zi, agenția daneză Styrelsen for Samfundssikkerhed (SAMSIK), din care face parte centrul național de securitate cibernetică CFCS, a cerut instituțiilor publice, organizațiilor și companiilor să revizuiască imediat controalele de identitate bazate pe aceste date.

Pentru cei care răspund de securitate și de procesele din companie, punctul tehnic este acesta: o dată personală, chiar și una oficială, nu este un factor de autentificare. Când ajunge în mâinile altora, orice proces care o folosește ca dovadă de identitate poate fi ocolit.

Ce s-a întâmplat

Potrivit avizului SAMSIK din 5 octombrie, incidentul a fost comunicat printr-un comunicat de presă de Ministerul danez al Cercetării, Educației și Digitalizării (Forsknings-, Uddannelses- og Digitaliseringsministeriet). Accesul a avut loc prin sistemul CPR și a fost descris ca neautorizat.

Avizul subliniază că datele personale pot fi folosite în tentative de fraudă și cere prudență instituțiilor și cetățenilor. Pe cetățeni îi trimite la sfaturile de pe portalul național Sikkerdigital.dk.

Pe 6 octombrie SAMSIK a publicat un al doilea aviz, adresat instituțiilor publice, organizațiilor și companiilor: nicio informație sensibilă nu mai trebuie furnizată doar pe baza datelor din CPR.

Ce se știe și ce nu

Avizele publicate până acum sunt succinte. În continuare găsești ce spun și ce nu spun.

• Date implicate: nume, adrese și numere CPR, plus alte date nespecificate („mv.”, adică „etc.”, în textul original).
• Persoane afectate: „un număr foarte mare” de cetățeni înregistrați. Nu este indicată nicio cifră.
• Modul de acces: avizele nu descriu vectorul, intervalul de timp și nici cine a obținut accesul. Nu există CVE și nici indicatori publici.
• Riscul semnalat de autorități: folosirea datelor pentru fraude și pentru a obține informații sau modificări în numele cetățenilor.

În lipsa detaliilor despre modul în care s-a produs accesul, nu este posibilă o corespondență cu tehnicile MITRE ATT&CK. Recomandările SAMSIK privesc etapa de după: cum împiedici ca datele sustrase să devină o cheie de acces la servicii.

Recomandările SAMSIK

Agenția cere o atenție deosebită pentru toate situațiile în care numărul CPR, numele sau adresa servesc la confirmarea identității unei persoane. Ca regulă de pornire, verificarea trebuie să se bazeze pe informații diferite de cele din CPR sau pe istoricul contactelor dintre persoană și instituție ori companie. Acest lucru este valabil mai ales când se partajează date personale sensibile sau când cererea poate avea consecințe financiare pentru cetățean.

Concret, SAMSIK recomandă:

1. direcționarea persoanei către autentificare într-un sistem self-service, de exemplu cu MitID, identitatea digitală daneză;
2. trimiterea unui cod unic la un număr de telefon sau la o adresă de email deja înregistrate;
3. întrebări de control legate de relația concretă, nu de date care ar fi putut fi sustrase: pentru o companie, numărul de client, numărul contractului sau ultima factură; pentru o instituție publică, adresa anterioară sau ultimul contact și dosarul în curs;
4. apelarea înapoi a persoanei la un număr deja înregistrat, nu la cel comunicat în timpul contactului;
5. prezența fizică cu un act de identitate pentru modificări speciale de natură financiară sau de securitate;
6. un control manual sau o perioadă de așteptare pentru modificările cu efecte financiare sau de securitate.

Impactul pentru companiile europene și italiene

Incidentul îi privește direct pe cei care au clienți, utilizatori sau angajați în Danemarca: băncile, asigurătorii, operatorii de telecomunicații, furnizorii de utilități, sănătatea și comerțul electronic care verifică persoanele după nume, adresă și număr CPR trebuie să aplice imediat recomandările.

Principiul este însă valabil peste tot. Și în Italia multe procese confirmă identitatea cu date personale: nume, adresă, data nașterii, codul fiscal. Se întâmplă în call center, în chaturile de asistență, la ghișee și la help desk-ul IT intern, când un utilizator cere resetarea parolei sau înregistrarea unui dispozitiv nou pentru autentificarea multifactor. Sunt date care circulă prin multe sisteme și documente: nu trebuie tratate ca un secret.

Pentru entitățile care intră sub incidența NIS2, subiectul face parte din măsurile de gestionare a riscurilor cerute de directivă, care includ politicile de control al accesului și autentificarea multifactor. În sănătate, unde cererile privesc adesea date medicale, verificarea identității înainte de a comunica informații este și mai delicată.

Ce să faci imediat

1. Fă inventarul canalelor: telefon, email, chat, ghișeu, portaluri și help desk intern. Pentru fiecare, notează cum se verifică identitatea.
2. Identifică verificările slabe: marchează procesele în care datele personale sunt suficiente pentru a obține informații, a schimba un contact, un IBAN sau o adresă ori a reseta credențiale sau factori de autentificare.
3. Aplică cele șase controale SAMSIK: autentificare, cod unic la un contact deja înregistrat, întrebări despre relație, apelare înapoi, prezență fizică pentru cazurile critice, control manual sau perioadă de așteptare.
4. Protejează help desk-ul IT: pentru resetarea parolelor și a MFA, cere o verificare care nu se bazează pe date personale, cum ar fi apelarea înapoi la un număr înregistrat sau confirmarea managerului.
5. Înregistrează și verifică modificările: ține evidența schimbărilor de contacte, date bancare și conturi și verifică-le pe cele apropiate în timp sau neobișnuite.
6. Pregătește personalul: avertizează-i pe cei care răspund clienților că sunt posibile tentative de fraudă cu date personale reale.

Cum ajută ARXDOME

ARX Expose semnalează conturile companiei implicate în breșe de date și domeniile asemănătoare cu al tău înregistrate de alții, folosite adesea în fraude. ARX Sentry colectează jurnalele serverelor și firewall-urilor și arată în paginile SOC autentificările eșuate, rafalele de încercări și modificările conturilor, utile pentru a observa o resetare obținută prin înșelăciune.

Ultima actualizare: 6 octombrie 2026