Un mot de passe « 123456 » a permis de tirer 8,8 millions de fiches du registre de population danois

Le 5 octobre 2026, le gouvernement du Danemark a annoncé que quelqu’un avait obtenu les noms, adresses et numéros d’identification personnels d’environ 8,8 millions de personnes inscrites au registre central des personnes du pays, le CPR. L’attaquant n’a pas forcé le registre lui-même. Il a utilisé l’accès légitime d’une petite entreprise danoise autorisée à y faire des recherches, et, selon les médias danois, cet accès était protégé par le mot de passe 123456.

Vous n’avez peut-être jamais entendu parler du CPR, mais le scénario vaut la peine d’être connu, peu importe où vous vivez.

Ce qui s’est passé

Le CPR est le registre national des personnes au Danemark, et le numéro CPR est le numéro d’identification personnel des Danois. Plus de 1 000 entreprises, dont des banques, des entreprises de télécommunications, des cabinets d’avocats, des syndicats et des assureurs, ont accès à des recherches dans ce registre, rapporte DR (en danois). Le ministère danois de la Recherche, de l’Éducation et du Numérique a indiqué (en danois) qu’un tiers non autorisé avait détourné l’accès légal d’une entreprise privée pour obtenir les noms, adresses, numéros CPR et d’autres données d’environ 8,8 millions de personnes inscrites. C’est plus que la population du Danemark, parce que le registre contient aussi des personnes décédées ou parties vivre à l’étranger. Le ministère précise que les personnes inscrites avec une protection du nom et de l’adresse ne sont pas touchées.

Le 9 octobre, Pays ApS, une entreprise d’Odense, a confirmé au diffuseur TV 2 (en danois) que c’était son accès qui avait été détourné. Pays offrait des services comme la mise à jour des adresses de clients et la vérification de décès ou de déménagements, à l’aide de recherches dans le CPR.

Selon des documents obtenus par TV 2 et repris par The Register (en anglais), l’attaquant est entré le 10 septembre et a lancé environ 14 millions de recherches automatisées jusqu’au 20 septembre. L’activité a été remarquée le 2 octobre, quand un employé du ministère a repéré une facture anormalement élevée pour les recherches de Pays. Une personne qui revendique l’attaque a dit au quotidien Politiken être entrée avec un mot de passe divulgué, 123456, appartenant à un ancien employé de Pays, et ne pas avoir l’intention de vendre ou de publier les données. Politiken rapporte qu’au moins trois comptes de Pays, dont un compte administrateur, utilisaient ce mot de passe. Ces affirmations viennent de l’attaquant et de la presse ; les autorités ne les ont pas confirmées.

L’autorité danoise de protection des données, Datatilsynet, enquête, et la police est saisie du dossier. La ministre a ordonné un examen de la sécurité du système CPR et, le 9 octobre, l’administration du CPR a écrit aux 1 039 entreprises qui y ont accès pour leur rappeler qu’elles doivent avoir un responsable de la sécurité désigné, contrôler régulièrement quels employés peuvent faire des recherches et surveiller leur nombre mensuel de recherches.

Pourquoi ça compte hors du Danemark

Cette fuite n’a exigé aucune technique ingénieuse. Un registre national donnait un accès de recherche à des entreprises privées, comme bien des pays le font sous une forme ou une autre, et l’une d’elles ne l’a pas protégé. Chaque entreprise autorisée à consulter ou à revendre des renseignements personnels est une porte de plus, et cette porte n’est pas plus solide que le mot de passe le plus faible de l’entreprise.

L’affaire montre aussi combien de temps un abus peut passer inaperçu. Quatorze millions de recherches depuis le compte d’une petite entreprise n’ont pas été repérées par la surveillance. Elles l’ont été par une facture.

Les Canadiens ne figurent pas au CPR, mais la même idée s’applique aux courtiers en données et aux sites de recherche de personnes qui recueillent et revendent les noms, adresses et numéros de téléphone des Canadiens. Chacun en garde une copie, et chaque copie peut fuir.

Ce que vous pouvez faire

Si vous vivez au Danemark, le ministère renvoie à sikkerdigital.dk (en danois) pour des conseils. Sa principale mise en garde est simple : ne donnez jamais de mot de passe ni d’autres renseignements confidentiels au téléphone ou par courriel, même si la personne connaît déjà votre nom, votre adresse et votre numéro CPR.

Où que vous viviez :

1. Attendez-vous à des arnaques qui utilisent de vrais renseignements. Un message qui connaît votre adresse ou votre numéro d’identité n’est pas une preuve qu’il est légitime. Notre guide sur la façon dont les fraudeurs utilisent les données divulguées montre les scénarios courants.
2. Réduisez le nombre de copies. Moins il y a d’entreprises qui détiennent vos renseignements, moins il y a d’endroits d’où ils peuvent fuir. Notre guide pour se retirer des courtiers en données au Canada explique comment faire.
3. Ne réutilisez pas vos mots de passe, au travail comme à la maison. Un gestionnaire de mots de passe et les clés d’accès éliminent la voie du « vieux mot de passe tiré d’une autre fuite » que cet attaquant aurait utilisée.

Sources

• Ministère de la Recherche, de l’Éducation et du Numérique (Danemark), Omfattende uautoriseret adgang til borgeres CPR-oplysninger (en danois), 5 octobre 2026
• DW, Denmark: Data of millions compromised in hack (en anglais), 5 octobre 2026
• TV 2, Her er den fynske virksomhed cpr-lækket gik igennem (en danois), 9 octobre 2026
• Politiken, Virksomhed: Det er os, der er blevet misbrugt til at hacke millioner af cpr-numre (en danois), 9 octobre 2026
• Malwarebytes, How “123456” became the key to almost 9 million personal records (en anglais), 12 octobre 2026
• The Register, ‘123456’ password linked to Denmark data breach affecting 8.8M people (en anglais), 13 octobre 2026
• DR, 1039 virksomheder har fået indskærpet sikkerhed efter CPR-læk (en danois), 10 octobre 2026