Danemark : les données de 8,8 millions de personnes dérobées, avec le mot de passe 123456 ?

Les numéros d’identification personnels, noms et adresses de près de 8,8 millions de personnes ont été extraits du registre de population danois, le registre CPR, en septembre 2026. Ce chiffre couvre, en pratique, l’ensemble de la population du pays et comprend aussi des personnes décédées. Le ministère danois de la Recherche, de l’Éducation et de la Numérisation a annoncé la fuite lundi 5 octobre. Quelques jours plus tard, un détail a retenu l’attention dans toute l’Europe : selon ses propres déclarations, le pirate serait entré avec le mot de passe 123456.

nn

Que s’est-il passé ?

n

Le CPR est le registre central de la population danoise, où chaque résident dispose d’un numéro personnel. Comme l’identifiant personnel finlandais, ce numéro est utilisé au quotidien dans de nombreuses démarches. Des entreprises et organismes privés peuvent aussi consulter le registre sous certaines conditions, notamment pour vérifier l’adresse actuelle d’un client ou d’un adhérent.

n

C’est précisément cet accès des entreprises qui a constitué le point faible. Selon Ingeniøren et le Copenhagen Post, quelqu’un a utilisé les identifiants d’une petite entreprise informatique d’Odense pour extraire des données du registre en septembre. Quelque 14 millions de requêtes auraient été effectuées. L’entreprise a confirmé à la chaîne danoise TV 2 avoir été visée par l’attaque. Son accès au registre a été coupé.

n

Aucune alerte d’un système de surveillance n’a révélé la fuite. Selon le Copenhagen Post, elle n’a été découverte que lorsque le bureau du CPR a reçu une facture anormalement élevée pour les requêtes effectuées depuis le compte de l’entreprise. La fuite a été repérée vendredi 2 octobre.

nn

Comment l’accès aux données a-t-il été obtenu ?

n

Quelques jours après l’annonce de la fuite, une personne restée anonyme a contacté Politiken par une messagerie chiffrée pour en revendiquer la responsabilité. Selon The Local et le Copenhagen Post, elle a expliqué avoir utilisé le mot de passe d’un ancien salarié, déjà divulgué lors d’une autre fuite. Ce mot de passe était 123456 et, selon cette personne, il servait à plusieurs comptes de l’entreprise, dont celui de l’administrateur.

n

Le pirate affirme avoir créé deux programmes : l’un pour extraire les données du registre, l’autre pour les enregistrer à l’extérieur. Selon lui, le programme aurait été écrit par une intelligence artificielle. Des spécialistes de la cybersécurité ayant examiné les éléments de Politiken, dont Emil Hørning, de Defend Denmark, jugent son récit probablement véridique. L’information sur le mot de passe repose toutefois sur les déclarations du pirate, et non sur un rapport technique publié par les autorités.

n

Le pirate a déclaré ne pas avoir l’intention de vendre ou de publier les données.

nn

Comment un registre de population a-t-il pu accepter le mot de passe 123456 ?

n

C’est le point le plus stupéfiant de l’affaire. Il s’agit d’un registre géré par l’État, qui contient le numéro d’identification de pratiquement chaque Danois. Pourtant, un compte protégé par l’un des mots de passe les plus courants au monde, année après année, aurait suffi pour y accéder.

n

La responsabilité ne repose pas uniquement sur une petite entreprise. Quand un système autorise une connexion avec le mot de passe 123456, le système lui-même est aussi en cause. Un service conçu avec soin refuse d’emblée un mot de passe aussi faible. Il exige également un second facteur d’authentification, comme un code par SMS ou une application d’authentification, et déclenche une alerte lorsqu’un petit client effectue soudain des millions de requêtes. Jens Myrup Pedersen, chercheur en cybersécurité à l’université d’Aarhus, l’a dit sans détour au Copenhagen Post : « Il n’y avait pratiquement aucune sécurité, c’était une porte ouverte. »

n

La ministre danoise de la Numérisation, Christina Egelund, a également reconnu auprès de l’agence Ritzau que la sécurité du système CPR n’avait pas été suffisante. Elle a commandé une analyse de sécurité et indique que de nouvelles mesures ont été mises en place pour empêcher des accès non autorisés similaires.

nn

Quelles pourraient être les conséquences ?

n

À ce stade, les conséquences restent difficiles à mesurer. Même si le pirate affirme qu’il ne diffusera pas les données, leur sécurité n’est plus garantie. Une fois copiées, elles peuvent tomber plus tard entre de mauvaises mains.

n

n
• Les faux appels deviennent plus faciles. Avec un nom, une adresse et un numéro d’identification, il devient facile de téléphoner en se faisant passer de manière crédible pour une banque, une administration ou la police. Le ministre danois de la Justice, Nicolai Wammen, a déjà appelé les habitants à ne pas communiquer de mots de passe ou d’autres informations confidentielles par téléphone ou par courriel, même si leur interlocuteur connaît leurs données personnelles.

n

• Un risque accru d’usurpation d’identité. Un numéro d’identification ne suffit pas, à lui seul, à ouvrir un compte bancaire. Associé à d’autres données, il facilite toutefois les démarches au nom d’un tiers.

n

• Un réexamen des droits d’accès au registre. L’accès des entreprises devrait être durci et l’authentification à deux facteurs devenir obligatoire.

n

• Un débat qui gagne d’autres pays. L’agence finlandaise chargée du numérique et des données de population, Digi- ja väestötietovirasto, a indiqué à Yle, le groupe audiovisuel public finlandais, être en contact avec les autorités danoises. Selon cette agence, une fuite similaire serait théoriquement possible en Finlande aussi, mais les requêtes y nécessitent un identifiant personnel déjà connu.

n

nn

Une leçon pour tous : 123456 n’est pas un mot de passe

n

L’affaire danoise est un rappel pour toutes les entreprises, même les plus petites. Un seul mot de passe faible sur le compte d’un ancien salarié a suffi à exposer les données de population de tout un pays. Voici les points à vérifier sans attendre dans son entreprise :

n

n
• Ne jamais utiliser de mots de passe faciles. 123456, 000000, qwerty, password ou le nom de l’entreprise suivi d’une année se devinent en quelques secondes. Une longue phrase de passe, par exemple quatre mots sans rapport entre eux, est à la fois plus robuste et plus facile à retenir.

n

• Utiliser un mot de passe différent pour chaque service. Selon le pirate, celui utilisé au Danemark avait déjà été divulgué ailleurs. Un gestionnaire de mots de passe les mémorise à votre place.

n

• Activer l’authentification à deux facteurs partout où elle est proposée. Même en cas de fuite, le mot de passe seul ne suffira plus à se connecter.

n

• Supprimer immédiatement les comptes des anciens salariés. La fuite danoise a commencé par un compte qui n’aurait plus dû fonctionner.

n

• Surveiller les anomalies. Si un système effectue soudain mille fois plus de requêtes, l’alerte doit tomber immédiatement, pas à la réception de la facture.

n

n

Si vous développez ou achetez un système, exigez-en autant : un bon service refuse tout simplement le mot de passe 123456.

nn

À lire aussi

• Automatisation ia avance independants
• Blablacar lecons entrepreneuriat mazzella
• Open banking banque plateforme independants

Sources

• The Local Denmark: Cybercriminal claims to have used simple password to hack Danish CPR system (9.10.2026)
• The Copenhagen Post: ‘123456’ password used in massive Danish CPR data breach (10.10.2026)
• TechPowerUp: Hacker says a “123456” password got them into Denmark’s ID register
• Ingeniøren: Millioner af CPR-numre var beskyttet med adgangskoden 123456 (9.10.2026, en danois)
• Ritzau / sn.dk: It-kriminel hævder at stå bag CPR-angreb (en danois)