Registrul CPR din Danemarca: date despre 8,8 milioane de persoane, prin accesul legitim al unei firme private. Ce verifici la accesele pe care le ai tu

Pe 5 octombrie 2026, ministerul danez al cercetării, educației și digitalizării a anunțat că persoane neautorizate au obținut nume, adrese, numere CPR și alte date despre aproximativ 8,8 milioane de persoane din registrul civil al Danemarcei (CPR). Registrul conține circa 11 milioane de înregistrări, inclusiv persoane decedate sau mutate în străinătate, de aceea cifra depășește populația țării. Potrivit ministerului, atacatorii au folosit accesul legitim al unei firme private daneze. Compania nu a fost numită, iar accesul ei a fost oprit. Poliția investighează.

Ce este confirmat, ce este relatat, ce nu se știe

• Confirmat de minister: aproximativ 8,8 milioane de persoane; nume, adrese, numere CPR și „alte informații”; persoanele cu protecție a numelui și adresei nu au fost expuse; accesul firmei a fost oprit; Datatilsynet (autoritatea de protecție a datelor) a fost notificată; poliția investighează; ministrul a cerut o revizuire a securității sistemului. Cifra este provizorie.
• Confirmat de minister: activitatea neobișnuită a fost observată în septembrie, administrația a aflat de incident în seara de 2 octombrie și a stabilit amploarea în weekend. Anunțul a venit luni, 5 octombrie.
• Confirmat de minister: accesul abuzat era cel prevăzut de legea CPR pentru firme private, adică pentru un grup de persoane definit și identificat în prealabil de firmă.
• Relatat de autoritatea de protecție a datelor, prin presă: atacul ar fi implicat o formă de încercări în serie pentru a găsi numere CPR valide, apoi extragerea datelor din fiecare înregistrare. Autoritatea spune că nu a evaluat încă cazul. Nu am putut deschide textul ei, deci citez ce redau presa.
• Relatat de The Next Web, care citează TV 2: peste 14 milioane de căutări în zece zile, din care circa 8,8 milioane au întors o înregistrare; ministerul ar fi observat activitatea după o factură foarte mare, deoarece firmele plătesc pentru fiecare căutare. Este o singură relatare, nu declarația oficială.
• Afirmat de un hacker anonim către Politiken, necontrolat: accesul ar fi venit printr-o parolă scursă, „123456”, a unui fost angajat al unei firme mici, iar el ar fi trimis un fișier cu peste 8,7 milioane de numere. Experți intervievați de Politiken cred probabil că hackerul a avut legătură cu incidentul. Autoritățile nu au confirmat afirmația și nu este clar dacă se potrivește cu explicația oficială a „accesului legitim”. O prezentăm ca pe o afirmație, nu ca pe un fapt.
• Necunoscut: numele firmei, cum a fost obținut accesul ei, cine este în spatele incidentului, dacă datele au fost folosite sau publicate, dacă cifra se va schimba și dacă persoanele afectate vor primi numere noi. Nicio sursă citită nu leagă incidentul de organizații din România.

Trei decizii care apar în acest caz

1. Cine deține și cine retrage un acces extern. Dacă afirmația hackerului ar fi adevărată, ar arăta ce se întâmplă cu un cont de acces la un registru atunci când un angajat pleacă și parola rămâne valabilă. Nu știm dacă este adevărată. Întrebarea rămâne utilă oricum: pentru fiecare acces la un sistem extern, cine este proprietarul numit, ce se întâmplă cu el la plecarea unui angajat și când a fost schimbată ultima oară parola?

2. Cine citește rapoartele și facturile de utilizare. Ministerul spune că activitatea neobișnuită a fost observată în septembrie, iar administrația a aflat de incident pe 2 octombrie. Potrivit relatării TV 2, factura foarte mare a fost cea care a atras atenția. Ideea este concretă: un volum neobișnuit de căutări poate fi vizibil în facturi sau rapoarte, nu doar în jurnalele tehnice. Cine din organizație primește aceste rapoarte și cine are autoritatea să oprească un acces?

3. Un număr de identificare nu este o dovadă de identitate. Laila Reenberg, de la agenția daneză Styrelsen for Samfundssikkerhed, a cerut, potrivit The Next Web, ca firmele și autoritățile să nu mai accepte un număr CPR ca unică dovadă a identității. Observația noastră, fără nicio afirmație despre România: orice organizație care folosește un număr național de identificare, de exemplu CNP, ca factor de verificare la telefon sau la ghișeu ar trebui să se întrebe ce se schimbă dacă acel număr circulă.

Comportamentul pe care îl antrenezi, pe roluri

• Cine gestionează accesul la sisteme sau registre externe: păstrează o listă cu fiecare acces, proprietarul lui, cine îl folosește și data ultimei schimbări de parolă; la plecarea unui angajat, accesul se schimbă în aceeași zi.
• Cei care folosesc astfel de conturi: parola nu se refolosește și nu este una banală; acolo unde este posibil, accesul se face cu autentificare în doi pași, iar activitatea neobișnuită se raportează imediat.
• Finanțe și operațiuni: citesc rapoartele de consum ale serviciilor plătite pe utilizare și întreabă când volumul se schimbă brusc. Stabiliți cine este anunțat și în cât timp.
• Suport clienți și centre de apel: nu verifică identitatea unui client doar pe baza numărului de identificare, a numelui și a adresei. Folosiți o a doua verificare, stabilită în prealabil. Oricine poate cunoaște aceste date, iar un apelant care le știe nu este dovedit autentic.
• Comunicare: după un incident de acest tip, persoanele afectate pot primi apeluri și mesaje false. Autoritățile daneze spun explicit să nu dai parole sau informații confidențiale, chiar dacă apelantul știe numele, adresa și numărul tău. Pregătiți un text la fel de clar pentru clienții voștri.
• Conducere: decide ce acces extern este necesar, nu doar ce este permis. Un acces nefolosit sau prea larg este o expunere.

Exercițiul: 40 de minute, de la factură la apelul fals

Participă cineva de la operațiuni sau finanțe, IT, securitatea, suportul pentru clienți, juridicul și un reprezentant al conducerii. Folosiți un scenariu fictiv, fără date reale: firma voastră are acces la un registru extern, plătit pe căutare.

• Pasul 1 (10 minute) — raportul lunar arată de zece ori mai multe căutări decât de obicei. Cine îl vede, ce întreabă, cine poate suspenda accesul și în cât timp?
• Pasul 2 (10 minute) — contul de acces aparținea unui coleg plecat acum șase luni. Unde este scris cine îl deține? Când a fost schimbată parola? Ce dovezi păstrați?
• Pasul 3 (10 minute) — un apelant care știe numele, adresa și numărul de identificare al unui client cere schimbarea e-mailului de contact. Ce verificare mai aveți? Cine decide să refuze?
• Pasul 4 (10 minute) — scrieți mesajul către clienți după un astfel de incident: ce spuneți, ce nu spuneți și ce nu veți cere niciodată. Cine îl aprobă?

Ce măsori

• Procentul accesurilor externe cu proprietar numit și parolă schimbată în ultimul an.
• Timpul de la plecarea unui angajat până la retragerea accesurilor lui.
• Câte servicii plătite pe utilizare au alerte sau rapoarte citite de un om numit.
• Timpul de la o creștere neobișnuită a consumului până la suspendarea accesului.
• Procentul apelurilor de suport care folosesc o a doua verificare, nu doar un număr de identificare.
• Câți dintre cei care răspund la linia publică recunosc o încercare de impersonare în exercițiu.

Cazul nu este încheiat: cifra poate crește, firma nu este numită, iar explicația oficială și afirmația hackerului nu au fost puse în acord. Concluzia utilă nu depinde de ele. Un acces legitim rămâne o ușă, iar cineva trebuie să știe cine o deține, cine o supraveghează și cine o poate închide.