Tanskan väestörekisteristä vuoti 8,8 miljoonan ihmisen tiedot – salasanaksi kerrotaan 123456

Tanskan väestörekisteristä eli CPR-rekisteristä haettiin syyskuussa 2026 lähes 8,8 miljoonan ihmisen henkilötunnukset, nimet ja osoitteet. Määrä vastaa käytännössä koko maan väestöä, ja mukana on myös jo kuolleita henkilöitä. Tanskan tutkimus-, koulutus- ja digitalisaatioministeriö kertoi vuodosta maanantaina 5. lokakuuta. Muutamaa päivää myöhemmin selvisi tieto, joka on herättänyt huomiota ympäri Eurooppaa: hakkerin oman kertoman mukaan sisään pääsi salasanalla 123456.

Mitä tapahtui?

CPR-rekisteri on Tanskan keskitetty henkilörekisteri, jossa jokaisella asukkaalla on oma CPR-numero. Numero on samaan tapaan arkinen ja kaikkialla käytetty tunniste kuin suomalainen henkilötunnus. Rekisteriin pääsevät tietyin ehdoin myös yksityiset yritykset ja järjestöt, esimerkiksi silloin, kun niiden pitää tarkistaa asiakkaan tai jäsenen ajantasainen osoite.

Juuri tämä yritysten pääsy oli heikko kohta. Ingeniøren- ja Copenhagen Post -lehtien mukaan joku käytti pienen odenselaisen IT-yrityksen tunnuksia ja haki niiden avulla rekisteristä tietoja syyskuun aikana. Hakuja tehtiin arviolta 14 miljoonaa. Yritys on itse vahvistanut tanskalaiselle TV 2:lle olleensa hyökkäyksen kohde, ja se on irrotettu rekisteristä.

Vuoto ei paljastunut valvontajärjestelmän hälytyksestä. Copenhagen Postin mukaan se huomattiin vasta, kun CPR-toimisto sai yrityksen tililtä tehdyistä hauista poikkeuksellisen suuren laskun. Vuoto havaittiin perjantaina 2. lokakuuta.

Miten tietoihin päästiin käsiksi?

Muutama päivä vuodon julkistamisen jälkeen nimettömänä pysyttelevä henkilö kertoi Politiken-lehdelle salatun viestipalvelun kautta olevansa vuodon takana. The Localin ja Copenhagen Postin mukaan hän kertoi käyttäneensä yrityksen entisen työntekijän salasanaa, joka oli aiemmin paljastunut toisessa tietovuodossa. Salasana oli 123456, ja hänen mukaansa sama salasana oli käytössä useilla yrityksen tunnuksilla, myös pääkäyttäjän tunnuksella.

Hakkerin mukaan hän rakensi kaksi ohjelmaa: toinen haki rekisteristä tietoja ja toinen tallensi ne ulkoiseen sijaintiin. Hänen mukaansa ohjelman kirjoitti tekoäly. Politikenin aineistoa tarkastelleet tietoturva-asiantuntijat, muun muassa Emil Hørning Defend Denmark -yhtiöstä, pitävät hakkerin kertomusta todennäköisesti totena. On silti hyvä huomata, että salasanaa koskeva tieto perustuu hakkerin omaan kertomukseen eikä viranomaisten julkaisemaan tekniseen selvitykseen.

Hakkeri on sanonut, ettei hän aio myydä tai julkaista tietoja.

Miten väestörekisteri päästi sisään salasanalla 123456?

Tässä on koko tapauksen hämmästyttävin kohta. Kyse ei ole pienen verkkokaupan asiakasrekisteristä, vaan valtion ylläpitämästä rekisteristä, jossa on käytännössä jokaisen tanskalaisen henkilötunnus. Silti sinne pääsi tunnuksella, jonka salasana on maailman yleisimpien salasanojen listan kärjessä vuodesta toiseen.

Vastuu ei ole vain yhdellä pienellä yrityksellä. Kun järjestelmä hyväksyy kirjautumisen salasanalla 123456, vika on myös järjestelmässä. Huolellisesti suunniteltu palvelu ei hyväksy noin heikkoa salasanaa lainkaan. Lisäksi se vaatii toisen tunnistustekijän, kuten tekstiviestikoodin tai todennussovelluksen, ja hälyttää, kun yksi pieni asiakas tekee yhtäkkiä miljoonia hakuja. Aarhusin yliopiston tietoturvatutkija Jens Myrup Pedersen kuvasi tilannetta Copenhagen Postille suoraan: “Turvallisuutta ei käytännössä ollut, se oli avoin ovi.”

Myös Tanskan digitalisaatioministeri Christina Egelund on myöntänyt Ritzau-uutistoimistolle, ettei CPR-järjestelmän turvallisuus ole ollut riittävän hyvä. Hän on tilannut järjestelmästä turvallisuusanalyysin ja kertoo, että käyttöön on otettu uusia keinoja estämään vastaavat luvattomat pääsyt.

Mitä seuraavaksi voi tapahtua?

Seurauksia voi tässä vaiheessa vain arvioida. Vaikka hakkeri sanoo, ettei hän levitä tietoja, niiden turvallisuuteen ei voi luottaa. Kerran kopioitu aineisto voi päätyä vääriin käsiin myöhemmin.

• Huijaukset lisääntyvät. Nimen, osoitteen ja henkilötunnuksen avulla on helppo soittaa ja esiintyä uskottavasti pankkina, viranomaisena tai poliisina. Tanskan oikeusministeri Nicolai Wammen on jo kehottanut kansalaisia olemaan antamatta salasanoja tai muita luottamuksellisia tietoja puhelimessa tai sähköpostissa, vaikka soittaja tietäisi heidän henkilötietonsa.
• Identiteettivarkauksien riski kasvaa. Henkilötunnus ei yksinään avaa pankkitiliä, mutta yhdessä muiden tietojen kanssa se helpottaa toisen nimissä toimimista.
• Rekisterin käyttöoikeudet tarkistetaan. On todennäköistä, että yritysten pääsyä rekisteriin tiukennetaan ja kahden tekijän tunnistautumisesta tulee pakollinen.
• Keskustelu leviää muihin maihin. Suomen Digi- ja väestötietovirasto kertoi Ylelle olevansa yhteydessä tanskalaisiin viranomaisiin. Viraston mukaan vastaava vuoto olisi teoriassa mahdollinen Suomessakin, mutta Suomessa kyselyt edellyttävät jo valmiiksi tiedossa olevaa henkilötunnusta.

Opetus kaikille: salasana 123456 ei ole salasana

Tanskan tapaus on muistutus, joka koskee jokaista yritystä, myös pientä. Yksi heikko salasana yhden entisen työntekijän tunnuksessa riitti koko maan väestötietojen vuotamiseen. Nämä asiat kannattaa tarkistaa omassa yrityksessä heti:

• Älä koskaan käytä helppoja salasanoja. Esimerkiksi 123456, 000000, qwerty, password tai yrityksen nimi vuosiluvulla arvataan sekunneissa. Pitkä salasanalause, kuten neljä toisiinsa liittymätöntä sanaa, on sekä vahvempi että helpompi muistaa.
• Käytä joka palvelussa eri salasanaa. Tanskassa käytetty salasana oli hakkerin mukaan vuotanut jo aiemmin muualta. Salasanojen hallintaohjelma muistaa salasanat puolestasi.
• Ota kaksivaiheinen tunnistautuminen käyttöön kaikkialla, missä se on mahdollista. Vaikka salasana vuotaisi, pelkkä salasana ei silloin riitä kirjautumiseen.
• Poista entisten työntekijöiden tunnukset heti. Tanskan vuoto alkoi tunnuksesta, jonka ei olisi enää pitänyt toimia.
• Seuraa poikkeamia. Jos järjestelmä tekee yhtäkkiä tuhatkertaisen määrän hakuja, siitä pitäisi tulla hälytys heti eikä vasta laskun mukana.

Jos rakennat tai ostat järjestelmää, vaadi samaa myös siltä: hyvä palvelu ei edes hyväksy salasanaa 123456.

Lue myös

• Esiintyminen rakentaa yrittäjän uskottavuutta
• Yrittäjän itseluottamus rakentuu arjen näytöistä
• Verkkokaupan kasvu vaatii muutakin kuin myyntiä

Lähteet

• The Local Denmark: Cybercriminal claims to have used simple password to hack Danish CPR system (9.10.2026)
• The Copenhagen Post: ‘123456’ password used in massive Danish CPR data breach (10.10.2026)
• TechPowerUp: Hacker says a “123456” password got them into Denmark’s ID register
• Ingeniøren: Millioner af CPR-numre var beskyttet med adgangskoden 123456 (9.10.2026, tanskaksi)
• Ritzau / sn.dk: It-kriminel hævder at stå bag CPR-angreb (tanskaksi)