Датские СМИ сообщили о взломе, в результате которого пострадали данные 8,8 млн граждан. Причиной названа слабая защита учётных записей в небольшой IT-компании Pays ApS, через которую злоумышленник получил несанкционированный доступ к Центральному реестру физических лиц Дании (CPR). Злоумышленник, взявший на себя ответственность за нападение, утверждает, что для не менее трёх учётных записей в Pays ApS был установлен простой пароль «123456», включая администраторский аккаунт.

По официальной информации правительства, злоумышленник сумел получить доступ к данным 8,8 млн человек. При этом CPR насчитывает около 11 миллионов записей, включая сведения об умерших и лицах, выехавших за границу; население Дании оценивается примерно в 6 миллионов человек. Правительство не дало ответов на вопросы о возможных недостатках в защите паролей.

Документы, попавшие в открытый доступ, свидетельствуют: доступ к CPR был получен 10 сентября, а до 20 сентября злоумышленник совершал 14 миллионов автоматических запросов к системе. По данным ведомств, преступление было обнаружено 2 октября — через 12 дней после фиксации последних запросов. Затем 4–5 октября государственные органы проинформировали об инциденте и начали расследование.

На момент публикации сайт Pays отключён, а представитель компании воздерживается от комментариев. Зломышленник сообщил Politiken, что не планировал продавать или публиковать полученные данные. По данным государственного расследования, Pays имела санкционированный доступ к CPR для оказания информационных услуг, включая проверки данных корпоративных клиентов.