Violation du registre de la population

Le ministère danois de la Science, de l'Enseignement supérieur et du Numérique a annoncé lundi matin 5 octobre 2026 que des individus non autorisés avaient pénétré le Registre central des personnes (CPR) du pays. L'incident a compromis les données personnelles d'environ 8,8 millions de personnes enregistrées, incluant des citoyens vivants, des résidents, des personnes décédées et des citoyens ayant déménagé à l'étranger. Les informations exposées comprennent les noms complets, les adresses postales, les coordonnées numériques, les numéros de téléphone et les numéros d'identification personnelle uniques à 10 chiffres. Le Danemark compte environ 6 millions d'habitants, mais le système CPR contient des entrées pour près de 11 millions de personnes sur plusieurs décennies. L'ensemble de données compromis représente la grande majorité de toutes les entrées conservées dans la base nationale.

Méthode et chronologie de l'intrusion

Les administrateurs de la base de données ont détecté une anomalie dans le système de registre le 2 octobre 2026, lançant une évaluation immédiate le week-end suivant. Les enquêteurs ont établi que des requêtes non autorisées avaient été effectuées tout au long du mois de septembre 2026. Les auteurs ont obtenu l'accès en exploitant les autorisations de recherche valides d'une entreprise privée danoise agréée, qui disposait d'un accès légitime pour vérifier des informations personnelles auprès des registres publics. Les autorités ont réagi en coupant immédiatement l'accès de l'entreprise privée afin d'empêcher d'autres requêtes dans le registre. La police danoise et les enquêteurs en cybercriminalité ont ouvert une enquête formelle pour retrouver la source de l'intrusion, le gouvernement indiquant que les auteurs n'ont pas encore été identifiés.

Portée des données du registre et exemptions

Le numéro CPR unique à 10 chiffres constitue un pilier fondamental de l'administration publique et commerciale du Danemark, servant d'identifiant principal pour les évaluations fiscales, les dossiers des services de santé et les opérations bancaires commerciales. Au-delà des marqueurs d'identité standard, le registre conserve des détails administratifs, notamment l'appartenance à une église, les dossiers d'incapacité juridique et les restrictions sur la capacité juridique individuelle. Le gouvernement danois a confirmé que les identifiants bancaires et les numéros de compte financiers ne figuraient pas dans l'ensemble de données exposé et n'avaient pas été compromis. En outre, les personnes ayant précédemment adhéré à des programmes de protection étatiques spécialisés pour leurs noms et adresses ont été exclues des résultats de recherche exposés. Les entités privées au Danemark utilisent régulièrement des connexions système réglementées pour vérifier l'identité des citoyens auprès du registre central lors de transactions commerciales, ce qui rend la protection de ces voies d'accès essentielle à la sécurité des données nationales.

Réaction du gouvernement et conseils au public

La ministre de la Numérisation, Christina Egelund, s'est exprimée sur cette défaillance de sécurité le 5 octobre, ordonnant un audit de sécurité complet de l'infrastructure du registre et de ses protocoles d'accès externes.

C'est un incident extrêmement grave.

Egelund a indiqué que plusieurs agences publiques et services de sécurité collaboraient pour évaluer l'ampleur technique de l'extraction de données.

Avec toutes les autorités compétentes, nous procédons à la reconstitution de l'ampleur complète de l'incident.

Le ministère a averti les habitants du Danemark de se préparer à d'éventuelles fraudes à l'identité, à des appels téléphoniques trompeurs et à des messages d'hameçonnage ciblés découlant des informations compromises du registre. Egelund a encouragé les citoyens à faire preuve d'une prudence accrue face aux sollicitations non sollicitées, à éviter de cliquer sur des liens internet inconnus et à ne pas partager d'identifiants sensibles lorsqu'ils sont contactés par des inconnus.