Неизвестные получили доступ к сведениям примерно о 8,8 миллиона человек из датского Центрального регистра населения, CPR. Среди затронутых записей были имена, адреса и персональные идентификационные номера, также называемые CPR-номерами. Речь идёт о живых и умерших людях, нынешних жителях страны, эмигрантах и других лицах, когда-либо внесённых в систему. Доступ шёл через законную учётную запись небольшой частной датской компании, имевшей право выполнять отдельные запросы к CPR.
Масштаб особенно заметен на фоне размеров самого регистра. CPR хранит сведения примерно об 11 миллионах человек, то есть запросы могли охватить около четырёх из каждых пяти записей. В реестр заносят всех, кто живёт или жил в Дании с 1968 года. При этом фактическое население страны, по данным Statistics Denmark, в начале 2025 года составляло чуть менее 6 миллионов. Оценка в 8,8 миллиона пока предварительная и может измениться.
Массовые обращения продолжались около 10 дней в сентябре. Сотрудник администрации CPR заметил необычную активность в пятницу, 2 октября, а за последовавшие выходные специалисты установили примерное число затронутых записей. Доступ компании после этого остановили. 4 октября администрация уведомила датский орган по защите данных Datatilsynet, который опубликовал сообщение 5 октября. В тот же день об инциденте объявило Министерство цифровизации Дании. Год этих октябрьских событий в официальном изложении не указан.
Datatilsynet говорит об огромном количестве автоматизированных запросов, предположительно предназначенных для проверки действительности CPR-номеров. Ведомство ещё не завершило оценку и поэтому осторожно пишет, что сведения были «предположительно получены». Полиция Дании ведёт отдельное расследование. Пока неизвестно, кто стоял за запросами, как посторонние проникли в систему или учётную запись компании и сохранили ли они полученные данные. Неясно и то, использовались ли эти сведения для мошенничества.
CPR-номер состоит из 10 цифр: первые шесть обозначают дату рождения, следующие четыре образуют серийную часть. Последняя цифра чётная у женщин и нечётная у мужчин. По расчётам The Hacker News, для каждой даты рождения возможно не более 10 000 комбинаций. Такая схема допускает перебор с последующей проверкой через запросы к реестру. Datatilsynet подтвердил поиск действительных номеров, но ни он, ни министерство не сообщили, перебирали ли злоумышленники систематически все варианты для каждой даты.
Правила доступа описаны в редакции датского закона о CPR от 2023 года. Компания вправе запрашивать сведения о конкретно определённом человеке, с которым у неё уже есть связь, например о клиенте или сотруднике. Для определения человека достаточно ввести его CPR-номер, однако сам номер не входит в установленный законом перечень данных, возвращаемых частным компаниям. Получается тонкая, но практичная лазейка: номер можно отправить на проверку, а ответ способен подтвердить его действительность и показать разрешённые сведения. Официальные сообщения пока не объясняют, как столь ограниченное право превратилось в запросы примерно по 80% реестра. Условия корпоративного доступа и обязательные меры безопасности устанавливает министерство, отвечающее за CPR.
В разрешённой выдаче могут находиться текущее имя, адрес, отметка о смерти или переезде за границу, а также кредитное предупреждение. По заявлению министерства, имена и адреса людей с защитой имени и адреса не раскрывались: такой статус обычно запрещает CPR передавать эти данные частным компаниям и лицам. Но два существенных вопроса остались без ответа. Власти не уточнили, проверялись ли CPR-номера защищённых людей и получит ли каждый из 8,8 миллиона затронутых граждан персональное уведомление.
Министр цифровизации Кристина Эгелунд заявила датскому агентству Ritzau, что существовавшая защита корпоративного доступа оказалась недостаточной. По её словам, при таких объёме и продолжительности запросов должны были сработать сигналы тревоги. Эгелунд потребовала провести полную проверку безопасности CPR. Решение о замене номеров ещё не принято: министр считает преждевременным говорить, понадобится ли людям новый CPR. Закон уже разрешает выдавать новый номер в особых случаях, когда прежний был использован неправомерно.
Министерство начало профилактические меры, но их содержание публично не раскрыло. Datatilsynet выясняет, что именно произошло, почему это стало возможным и кто отвечает за обработку затронутых персональных данных. Остаётся непонятным, каким способом захватили корпоративную учётную запись, почему контроль не заметил десятидневный поток автоматических обращений и смогли ли посторонние выгрузить результаты. Не названы и лица, стоящие за операцией. Доступ компании к CPR прекращён или приостановлен, но это закрывает канал лишь после того, как через него прошли миллионы запросов.
Официальный портал советует настороженно относиться к неожиданным звонкам, письмам и сообщениям, даже если отправитель знает имя, адрес или другие личные сведения. Ссылки из таких сообщений лучше не открывать: нужную организацию следует найти через её официальный сайт либо позвонить по основному номеру. Нельзя сообщать данные MitID, одноразовые коды, пароли и реквизиты платёжных карт. CPR отдельно предупреждает, что персональный номер служит для определения человека, но не должен приниматься как единственное доказательство личности. Одного знания номера недостаточно для надёжной аутентификации.
На любой человек в возрасте от 15 лет может установить кредитное предупреждение в своей записи CPR. Оно сообщает подключённым к этой системе компаниям, что перед выдачей займа или кредита нужно тщательнее проверить личность заявителя. Это предупреждающий флаг, а не автоматический юридический запрет. Отметка регистрируется сразу, но в системах компаний может появиться лишь через несколько дней; кроме того, она способна затруднить получение законного кредита самим владельцем до момента удаления. Помощь оказывает государственная Cyberhotline for digital security по номеру +45 33 37 00 37. В дни после объявления её часы работы продлили с 8:00 до полуночи.
Изображение носит иллюстративный характер
Масштаб особенно заметен на фоне размеров самого регистра. CPR хранит сведения примерно об 11 миллионах человек, то есть запросы могли охватить около четырёх из каждых пяти записей. В реестр заносят всех, кто живёт или жил в Дании с 1968 года. При этом фактическое население страны, по данным Statistics Denmark, в начале 2025 года составляло чуть менее 6 миллионов. Оценка в 8,8 миллиона пока предварительная и может измениться.
Массовые обращения продолжались около 10 дней в сентябре. Сотрудник администрации CPR заметил необычную активность в пятницу, 2 октября, а за последовавшие выходные специалисты установили примерное число затронутых записей. Доступ компании после этого остановили. 4 октября администрация уведомила датский орган по защите данных Datatilsynet, который опубликовал сообщение 5 октября. В тот же день об инциденте объявило Министерство цифровизации Дании. Год этих октябрьских событий в официальном изложении не указан.
Datatilsynet говорит об огромном количестве автоматизированных запросов, предположительно предназначенных для проверки действительности CPR-номеров. Ведомство ещё не завершило оценку и поэтому осторожно пишет, что сведения были «предположительно получены». Полиция Дании ведёт отдельное расследование. Пока неизвестно, кто стоял за запросами, как посторонние проникли в систему или учётную запись компании и сохранили ли они полученные данные. Неясно и то, использовались ли эти сведения для мошенничества.
CPR-номер состоит из 10 цифр: первые шесть обозначают дату рождения, следующие четыре образуют серийную часть. Последняя цифра чётная у женщин и нечётная у мужчин. По расчётам The Hacker News, для каждой даты рождения возможно не более 10 000 комбинаций. Такая схема допускает перебор с последующей проверкой через запросы к реестру. Datatilsynet подтвердил поиск действительных номеров, но ни он, ни министерство не сообщили, перебирали ли злоумышленники систематически все варианты для каждой даты.
Правила доступа описаны в редакции датского закона о CPR от 2023 года. Компания вправе запрашивать сведения о конкретно определённом человеке, с которым у неё уже есть связь, например о клиенте или сотруднике. Для определения человека достаточно ввести его CPR-номер, однако сам номер не входит в установленный законом перечень данных, возвращаемых частным компаниям. Получается тонкая, но практичная лазейка: номер можно отправить на проверку, а ответ способен подтвердить его действительность и показать разрешённые сведения. Официальные сообщения пока не объясняют, как столь ограниченное право превратилось в запросы примерно по 80% реестра. Условия корпоративного доступа и обязательные меры безопасности устанавливает министерство, отвечающее за CPR.
В разрешённой выдаче могут находиться текущее имя, адрес, отметка о смерти или переезде за границу, а также кредитное предупреждение. По заявлению министерства, имена и адреса людей с защитой имени и адреса не раскрывались: такой статус обычно запрещает CPR передавать эти данные частным компаниям и лицам. Но два существенных вопроса остались без ответа. Власти не уточнили, проверялись ли CPR-номера защищённых людей и получит ли каждый из 8,8 миллиона затронутых граждан персональное уведомление.
Министр цифровизации Кристина Эгелунд заявила датскому агентству Ritzau, что существовавшая защита корпоративного доступа оказалась недостаточной. По её словам, при таких объёме и продолжительности запросов должны были сработать сигналы тревоги. Эгелунд потребовала провести полную проверку безопасности CPR. Решение о замене номеров ещё не принято: министр считает преждевременным говорить, понадобится ли людям новый CPR. Закон уже разрешает выдавать новый номер в особых случаях, когда прежний был использован неправомерно.
Министерство начало профилактические меры, но их содержание публично не раскрыло. Datatilsynet выясняет, что именно произошло, почему это стало возможным и кто отвечает за обработку затронутых персональных данных. Остаётся непонятным, каким способом захватили корпоративную учётную запись, почему контроль не заметил десятидневный поток автоматических обращений и смогли ли посторонние выгрузить результаты. Не названы и лица, стоящие за операцией. Доступ компании к CPR прекращён или приостановлен, но это закрывает канал лишь после того, как через него прошли миллионы запросов.
Официальный портал советует настороженно относиться к неожиданным звонкам, письмам и сообщениям, даже если отправитель знает имя, адрес или другие личные сведения. Ссылки из таких сообщений лучше не открывать: нужную организацию следует найти через её официальный сайт либо позвонить по основному номеру. Нельзя сообщать данные MitID, одноразовые коды, пароли и реквизиты платёжных карт. CPR отдельно предупреждает, что персональный номер служит для определения человека, но не должен приниматься как единственное доказательство личности. Одного знания номера недостаточно для надёжной аутентификации.
На любой человек в возрасте от 15 лет может установить кредитное предупреждение в своей записи CPR. Оно сообщает подключённым к этой системе компаниям, что перед выдачей займа или кредита нужно тщательнее проверить личность заявителя. Это предупреждающий флаг, а не автоматический юридический запрет. Отметка регистрируется сразу, но в системах компаний может появиться лишь через несколько дней; кроме того, она способна затруднить получение законного кредита самим владельцем до момента удаления. Помощь оказывает государственная Cyberhotline for digital security по номеру +45 33 37 00 37. В дни после объявления её часы работы продлили с 8:00 до полуночи.
