Naruszenie rejestru ludności

Duńskie Ministerstwo Nauki, Szkolnictwa Wyższego i Cyfryzacji ogłosiło w poniedziałek rano, 5 października 2026 r., że nieuprawnione osoby uzyskały dostęp do krajowego Centralnego Rejestru Osób (CPR). Incydent dotyczył danych osobowych około 8,8 mln zarejestrowanych osób, w tym żyjących obywateli, rezydentów, osób zmarłych oraz obywateli, którzy przeprowadzili się za granicę. Ujawnione informacje obejmują imiona i nazwiska, adresy zamieszkania, cyfrowe dane kontaktowe, numery telefonów oraz unikalne 10-cyfrowe numery identyfikacyjne. Choć populacja Danii wynosi około 6 mln osób, system CPR zawiera wpisy dotyczące około 11 mln osób z wielu dekad. Skradziony zbiór danych stanowi zdecydowaną większość wszystkich rekordów przechowywanych w krajowej bazie.

Metoda i harmonogram włamania

Administratorzy bazy danych wykryli anomalię w systemie rejestru 2 października 2026 r., rozpoczynając natychmiastową ocenę sytuacji w kolejny weekend. Śledczy ustalili, że nieuprawnione zapytania do bazy danych były wysyłane przez cały wrzesień 2026 r. Sprawcy uzyskali dostęp, wykorzystując uprawnienia do wyszukiwania należące do autoryzowanego prywatnego duńskiego przedsiębiorstwa, które posiadało legalny dostęp w celu weryfikacji danych osobowych z rejestrami rządowymi. Władze zareagowały, natychmiast blokując dostęp tej firmie, aby zapobiec dalszym zapytaniom. Duńska policja i eksperci ds. cyberbezpieczeństwa wszczęli formalne dochodzenie w celu ustalenia źródła włamania, choć rząd przekazał, że sprawcy nie zostali jeszcze zidentyfikowani.

Zakres danych rejestru i wyłączenia

Unikalny 10-cyfrowy numer CPR stanowi fundament duńskiej administracji publicznej i komercyjnej, pełniąc rolę głównego identyfikatora w rozliczeniach podatkowych, dokumentacji medycznej i operacjach bankowych. Poza standardowymi znacznikami tożsamości, rejestr przechowuje szczegóły administracyjne, w tym przynależność kościelną, informacje o ubezwłasnowolnieniu oraz ograniczenia zdolności prawnej. Rząd Danii potwierdził, że dane logowania do bankowości oraz numery rachunków finansowych nie znajdowały się w ujawnionym zbiorze danych i pozostały bezpieczne. Ponadto osoby objęte specjalistycznymi rządowymi programami ochrony danych osobowych zostały wyłączone z wyników wyszukiwania. Prywatne podmioty w Danii rutynowo korzystają z regulowanych połączeń systemowych w celu weryfikacji tożsamości obywateli podczas transakcji handlowych, co czyni ochronę tych ścieżek dostępu kluczową dla bezpieczeństwa danych kraju.

Reakcja rządu i zalecenia dla obywateli

Minister cyfryzacji Christina Egelund odniosła się do naruszenia bezpieczeństwa 5 października, zlecając kompleksowy audyt infrastruktury rejestru oraz protokołów dostępu zewnętrznego.

To niezwykle poważny incydent.

Egelund zaznaczyła, że wiele agencji państwowych i służb bezpieczeństwa współpracuje w celu oceny technicznej skali wycieku danych.

Wraz ze wszystkimi odpowiednimi organami przystępujemy do odtworzenia pełnego zakresu tego incydentu.

Ministerstwo ostrzegło mieszkańców Danii przed możliwymi próbami kradzieży tożsamości, oszukańczymi telefonami oraz ukierunkowanymi wiadomościami phishingowymi wynikającymi z ujawnienia informacji z rejestru. Egelund zachęciła obywateli do zachowania wzmożonej czujności wobec nieoczekiwanych kontaktów, unikania klikania w nieznane linki internetowe oraz powstrzymania się od udostępniania wrażliwych danych w przypadku kontaktu z nieznanymi osobami.