Taani rahvastikuregistrist lekkis 8,8 miljoni inimese andmeid – väidetav parool oli 123456

2026. aasta septembris võeti Taani rahvastikuregistrist ehk CPR-registrist ligi 8,8 miljoni inimese isikukoodid, nimed ja aadressid. See hõlmab sisuliselt kogu riigi elanikkonda ning ka juba surnud inimesi. Taani teadus-, haridus- ja digiministeerium teatas lekkest esmaspäeval, 5. oktoobril. Mõni päev hiljem tuli ilmsiks kogu Euroopas tähelepanu äratanud asjaolu: häkkeri enda sõnul pääses registrisse parooliga 123456.

Mis juhtus?

CPR-register on Taani keskne isikuregister, kus igal elanikul on oma CPR-number. See on igapäevane ja laialt kasutatav tunnus, nagu Soomes isikukood. Teatud tingimustel pääsevad registrile ligi ka eraettevõtted ja organisatsioonid, näiteks siis, kui neil on vaja kontrollida kliendi või liikme kehtivat aadressi.

Nõrgaks kohaks osutuski ettevõtete ligipääs. Väljaannete Ingeniøren ja Copenhagen Post andmetel kasutas keegi Odenses tegutseva väikese IT-ettevõtte kasutajatunnuseid ning tegi septembri jooksul registrisse päringuid. Hinnanguliselt tehti neid 14 miljonit. Ettevõte kinnitas Taani telekanalile TV 2, et langes rünnaku ohvriks, ning tema ligipääs registrile on suletud.

Leket ei avastatud seiresüsteemi häire abil. Copenhagen Posti andmetel märgati seda alles siis, kui CPR-i büroo sai ettevõtte kontolt tehtud päringute eest ebatavaliselt suure arve. Leke avastati reedel, 2. oktoobril.

Kuidas andmetele ligi pääseti?

Mõni päev pärast lekke avalikustamist teatas anonüümseks jäänud inimene krüpteeritud sõnumiteenuse kaudu ajalehele Politiken, et tema on lekke taga. The Locali ja Copenhagen Posti andmetel ütles ta, et kasutas ettevõtte endise töötaja parooli, mis oli varem teises andmelekkes avalikuks saanud. Parool oli 123456 ning häkkeri sõnul kasutati seda mitmel ettevõtte kontol, sealhulgas administraatori omal.

Häkkeri sõnul lõi ta kaks programmi: üks võttis registrist andmeid ja teine salvestas need mujale. Tema väitel kirjutas programmi tehisintellekt. Politikeni materjaliga tutvunud infoturbeeksperdid, nende seas Emil Hørning ettevõttest Defend Denmark, peavad häkkeri juttu tõenäoliselt tõeseks. Siiski tuleb meeles pidada, et väide parooli kohta põhineb häkkeri enda jutul, mitte ametiasutuste avaldatud tehnilisel raportil.

Häkker on öelnud, et ei kavatse andmeid müüa ega avaldada.

Kuidas lubas rahvastikuregister sisse parooliga 123456?

See on kogu loo kõige jahmatavam osa. Tegu pole väikese veebipoe kliendiregistriga, vaid riigi hallatava registriga, kus on sisuliselt iga taanlase isikukood. Ometi sai sinna väidetavalt sisse parooliga, mis püsib aastast aastasse maailma levinumate paroolide edetabeli tipus.

Vastutus ei lasu ainult ühel väikesel ettevõttel. Kui süsteem lubab sisse logida parooliga 123456, on viga ka süsteemis endas. Korralikult kavandatud teenus ei luba nii nõrka parooli üldse kasutada. Lisaks nõuab see teist autentimistegurit, näiteks SMS-koodi või autentimisrakendust, ning annab häire, kui üks väike klient teeb järsku miljoneid päringuid. Aarhusi ülikooli infoturbeteadlane Jens Myrup Pedersen ütles Copenhagen Postile otse: „Turvalisust sisuliselt polnud, uks oli lahti.”

Ka Taani digiminister Christina Egelund on uudisteagentuurile Ritzau tunnistanud, et CPR-süsteemi turvalisus pole olnud piisav. Ta on tellinud süsteemi turvaanalüüsi ja ütleb, et sarnase loata ligipääsu takistamiseks on kasutusele võetud uusi meetmeid.

Mis võib edasi juhtuda?

Praegu saab tagajärgi vaid hinnata. Kuigi häkker ütleb, et ta andmeid ei levita, ei saa nende turvalisuses kindel olla. Kord kopeeritud andmed võivad hiljem sattuda valedesse kätesse.

• Võltskõnesid on lihtsam teha. Nime, aadressi ja isikukoodi abil on lihtne helistada ning usutavalt esineda panga, ametiasutuse või politsei esindajana. Taani justiitsminister Nicolai Wammen on juba kutsunud inimesi üles mitte jagama telefoni ega e-posti teel paroole või muud konfidentsiaalset teavet, isegi kui pöörduja teab nende isikuandmeid.
• Identiteedivarguse oht kasvab. Isikukood üksi ei anna ligipääsu pangakontole, kuid koos muude andmetega hõlbustab see teise inimese nimel tegutsemist.
• Registri kasutusõigused vaadatakse üle. Tõenäoliselt karmistatakse ettevõtete ligipääsu registrile ja muudetakse kaheastmeline autentimine kohustuslikuks.
• Arutelu jõuab teistesse riikidesse. Soome digi- ja rahvastikuandmete amet Digi- ja väestötietovirasto teatas Soome avalik-õiguslikule ringhäälingule Yle, et suhtleb Taani ametiasutustega. Ameti sõnul oleks samalaadne leke teoreetiliselt võimalik ka Soomes, kuid seal peab päringu tegemiseks isikukood juba teada olema.

Õppetund kõigile: 123456 ei kõlba parooliks

Taani juhtum on meeldetuletus igale ettevõttele, ka väikesele. Ühest nõrgast paroolist endise töötaja kontol piisas, et lekkisid terve riigi rahvastikuandmed. Need asjad tasub oma ettevõttes kohe üle kontrollida:

• Ära kasuta kunagi lihtsaid paroole. Näiteks 123456, 000000, qwerty, password või ettevõtte nimi koos aastaarvuga arvatakse ära sekunditega. Pikk paroolifraas, näiteks neli omavahel seostamata sõna, on nii tugevam kui ka lihtsam meelde jätta.
• Kasuta igas teenuses erinevat parooli. Häkkeri sõnul oli Taanis kasutatud parool varem juba mujal lekkinud. Paroolihaldur jätab paroolid sinu eest meelde.
• Lülita kaheastmeline autentimine sisse kõikjal, kus võimalik. Isegi kui parool lekib, ei piisa siis sellest üksi sisselogimiseks.
• Kustuta endiste töötajate kontod kohe. Taani leke sai alguse kontost, mis ei oleks enam tohtinud toimida.
• Jälgi kõrvalekaldeid. Kui süsteem teeb järsku tuhat korda rohkem päringuid, peaks häire tulema kohe, mitte alles koos arvega.

Kui lood või ostad süsteemi, nõua sama ka sellelt: hea teenus ei lubagi kasutada parooli 123456.

Loe ka

• Kulla hind keskpangad ostavad kulda
• Juhtimiskoolitus pole luksus vaid eeldus
• Investeerimisideed maailma suurlinnadest

Allikad

• The Local Denmark: Cybercriminal claims to have used simple password to hack Danish CPR system (9.10.2026)
• The Copenhagen Post: ‘123456’ password used in massive Danish CPR data breach (10.10.2026)
• TechPowerUp: Hacker says a “123456” password got them into Denmark’s ID register
• Ingeniøren: Millioner af CPR-numre var beskyttet med adgangskoden 123456 (9.10.2026, taani keeles)
• Ritzau / sn.dk: It-kriminel hævder at stå bag CPR-angreb (taani keeles)