Изтекоха данни за 8,8 млн. души от датския регистър – паролата била 123456

През септември 2026 г. от датския регистър на населението CPR са извлечени личните идентификационни номера, имената и адресите на близо 8,8 милиона души. Това на практика обхваща цялото население на страната, като сред данните има и такива на починали хора. Датското министерство на научните изследвания, образованието и цифровизацията съобщи за изтичането в понеделник, 5 октомври. Няколко дни по-късно стана известна подробност, която привлече вниманието в цяла Европа: според самия хакер достъпът е бил възможен с паролата 123456.

Какво се случи?

CPR е централният регистър на физическите лица в Дания, в който всеки жител има собствен CPR номер. Това е широко използван всекидневен идентификатор, подобно на личния идентификационен номер във Финландия. При определени условия до регистъра имат достъп и частни фирми и организации, например когато трябва да проверят актуалния адрес на клиент или член.

Именно достъпът на фирмите се оказа слабото звено. Според Ingeniøren и Copenhagen Post някой е използвал данните за вход на малка IT фирма от Одензе и през септември е извличал информация от регистъра. По приблизителни оценки са направени 14 милиона справки. Самата фирма потвърди пред датската телевизия TV 2, че е станала мишена на атака, а достъпът ѝ до регистъра е прекратен.

Изтичането не е било разкрито чрез сигнал от система за наблюдение. Според Copenhagen Post то е забелязано едва когато службата CPR е получила необичайно висока сметка за справките от фирмения профил. Пробивът е открит в петък, 2 октомври.

Как е получен достъп до данните?

Няколко дни след оповестяването на изтичането анонимен човек е заявил пред вестник Politiken чрез криптирана услуга за съобщения, че стои зад него. Според The Local и Copenhagen Post той е разказал, че използвал паролата на бивш служител на фирмата, която вече била разкрита при друго изтичане на данни. Паролата била 123456 и по думите му се използвала за няколко фирмени профила, включително за администраторския.

Хакерът твърди, че е създал две програми: едната извличала данни от регистъра, а другата ги записвала на външно място. По думите му програмата е написана от изкуствен интелект. Експертите по информационна сигурност, прегледали материалите на Politiken, сред които Емил Хьорнинг от Defend Denmark, смятат разказа му за вероятно достоверен. Все пак информацията за паролата се основава на твърденията на самия хакер, а не на публикуван от властите технически доклад.

Хакерът е заявил, че няма намерение да продава или публикува данните.

Как регистърът на населението е допускал вход с парола 123456?

Това е най-изумителната част от случая. Не става дума за клиентския регистър на малък онлайн магазин, а за поддържан от държавата регистър с личния номер на практика на всеки датчанин. Въпреки това достъпът е бил възможен с профил, чиято парола година след година е сред най-разпространените в света.

Отговорността не е само на една малка фирма. Когато системата допуска вход с парола 123456, проблемът е и в самата нея. Добре проектираната услуга изобщо не приема толкова слаба парола. Освен това изисква втори фактор за удостоверяване, като SMS код или приложение за удостоверяване, и подава сигнал, когато един малък клиент внезапно направи милиони справки. Изследователят по информационна сигурност от Орхуския университет Йенс Мюруп Педерсен описа ситуацията пред Copenhagen Post направо: „На практика нямаше сигурност, това беше отворена врата.“

Датският министър на цифровизацията Кристина Егелунд също призна пред агенция Ritzau, че сигурността на системата CPR не е била достатъчно добра. Тя е възложила анализ на сигурността и заявява, че са въведени нови мерки за предотвратяване на подобен неразрешен достъп.

Какво може да последва?

На този етап последиците могат само да се преценяват. Макар хакерът да твърди, че няма да разпространява данните, не може да се разчита, че те са в безопасност. Веднъж копирана, информацията може по-късно да попадне в неподходящи ръце.

• Измамите ще зачестят. С име, адрес и личен номер е лесно да се позвъни и убедително да се представиш за банка, държавна институция или полицията. Датският министър на правосъдието Николай Вамен вече призова гражданите да не предоставят пароли или друга поверителна информация по телефона или по имейл, дори ако обаждащият се знае личните им данни.
• Рискът от кражба на самоличност расте. Личният номер сам по себе си не дава достъп до банкова сметка, но в съчетание с други данни улеснява действията от чуждо име.
• Правата за достъп до регистъра ще бъдат преразгледани. Вероятно достъпът на фирмите ще бъде затегнат, а двуфакторното удостоверяване ще стане задължително.
• Дискусията обхваща и други страни. Финландската агенция за цифрови данни и данни за населението Digi- ja väestötietovirasto съобщи пред финландската обществена медия Yle, че е в контакт с датските власти. Според агенцията подобно изтичане теоретично е възможно и във Финландия, но там за справка е необходимо личният номер да е предварително известен.

Поуката за всички: 123456 не става за парола

Случаят в Дания е напомняне за всяка фирма, включително за малките. Една слаба парола в профила на бивш служител е била достатъчна, за да изтекат данните за населението на цяла страна. Ето какво си струва да проверите незабавно в своята фирма:

• Никога не използвайте лесни пароли. Например 123456, 000000, qwerty, password или името на фирмата с година могат да бъдат отгатнати за секунди. Дълга фраза за парола, например четири несвързани помежду си думи, е едновременно по-сигурна и по-лесна за запомняне.
• Използвайте различна парола за всяка услуга. Според хакера използваната в Дания парола вече е била изтекла другаде. Мениджърът на пароли ги помни вместо вас.
• Включете двуфакторно удостоверяване навсякъде, където е възможно. Така дори паролата да изтече, тя сама няма да е достатъчна за вход.
• Изтривайте незабавно профилите на бивши служители. Изтичането в Дания е започнало от профил, който вече не е трябвало да работи.
• Следете за отклонения. Ако системата внезапно прави хиляда пъти повече справки, сигналът трябва да дойде веднага, а не чак със сметката.

Ако разработвате или купувате система, изисквайте същото и от нея: добрата услуга изобщо не приема паролата 123456.

Прочетете още

• Izkustven intelekt malak biznes ne zamestitel
• Biznes klas gena sabeva vreme za shou
• Izkustven intelekt v bankite signal za biznesa

Източници

• The Local Denmark: Cybercriminal claims to have used simple password to hack Danish CPR system (9.10.2026)
• The Copenhagen Post: ‘123456’ password used in massive Danish CPR data breach (10.10.2026)
• TechPowerUp: Hacker says a “123456” password got them into Denmark’s ID register
• Ingeniøren: Millioner af CPR-numre var beskyttet med adgangskoden 123456 (9.10.2026, на датски)
• Ritzau / sn.dk: It-kriminel hævder at stå bag CPR-angreb (на датски)