Небольшая датская ИТ-компания, имеющая авторизованный доступ к реестру населения Дании (CPR), не соблюдала должный уровень security. По данным Register, злоумышленник получил доступ к госплатформе через учетную запись Pays ApS, которая была защищена паролем «123456» и имела доступ к CPR. В результате разборок ведомств стало известно, что пострадавшими оказались около 8,8 млн нынешних и бывших граждан страны. Источник подчеркивает, что использовались как минимум три корпоративных аккаунта, включая аккаунт администратора с полными правами, и все они пользовались одним и тем же простым паролем. В материалах приводятся цифры и оценки, но подтверждений имени злоумышленника нет.

Администрация CPR сообщила об утечке 5 октября 2026 года; позже представитель Pays ApS подтвердила, что доступ к CPR действительно был использован злоумышленниками. По данным телеканала TV 2, несанкционированный доступ к CPR был зафиксирован 10 сентября 2026 года. С 10 по 20 сентября система зафиксировала 14 миллионов автоматизированных поисковых запросов. Эти детали указывают на период активного использования уязвимой схемы доступа к данным. Источники отмечают, что население Дании насчитывает около 6 млн человек, а в CPR хранится порядка 11 млн записей, включая умерших и переехавших.

Утечка не была названа как результат атаки одной конкретной группы; представитель ведомства и сотрудники Pays ApS подчеркивали сотрудничество с компетентными органами и блокировку доступа к сайту Pays. По данным материалов, Pays ApS занималась обновлением баз данных и проверкой контрагентов, и это объясняет, почему их учетные данные имели доступ к CPR. Однако само сообщение подчёркивает, что злоумышленники могли воспользоваться доступом одного из корпоративных аккаунтов, что усиливает вывод об отсутствии надлежащей изоляции между сервисами и реестром. В опубликованных заметках отмечается, что PaysApS существовала как отдельная структура с двумя сотрудниками, но управляла несколькими другими предприятиями, и что компания очень ценит безопасность ваших данных, хотя сами факты указывают на противоположное.

Каковы последствия и контекст происшедшего? Задокументированные данные показывают, что утечка затронула персональные сведения граждан, а масштабы доступа и частота запросов указывают на значительный риск утечки и возможного использования данных. Обсуждаются важные вопросы безопасности: как пароль «123456» мог быть использован несколькими учетными записями; почему три корпоративных аккаунта, включая учетную запись администратора, применяли один и тот же пароль; и какие меры безопасности будут применены в дальнейшем со стороны CPR и Pays ApS для предотвращения повторения подобных инцидентов. Нужны дополнительные разъяснения от ответственных органов и компаний, чтобы понять конкретные последствия для граждан и системы госреестра.