Wyciek danych 8,8 mln osób z duńskiego rejestru. Hasłem miało być 123456

We wrześniu 2026 r. z duńskiego rejestru ludności CPR pobrano numery identyfikacyjne, imiona, nazwiska i adresy blisko 8,8 mln osób. To w praktyce dane całej ludności kraju, w tym także osób zmarłych. Duńskie ministerstwo badań naukowych, edukacji i cyfryzacji poinformowało o wycieku w poniedziałek 5 października. Kilka dni później ujawniono szczegół, który przyciągnął uwagę w całej Europie: według samego hakera do systemu można było wejść, używając hasła 123456.

Co się wydarzyło?

CPR to centralny duński rejestr ludności, w którym każdy mieszkaniec ma własny numer CPR. Jest to identyfikator używany powszechnie w codziennym życiu, podobnie jak fiński numer identyfikacyjny. Pod pewnymi warunkami z rejestru mogą korzystać również prywatne firmy i organizacje, na przykład gdy muszą sprawdzić aktualny adres klienta lub członka organizacji.

Słabym punktem okazał się właśnie dostęp dla firm. Według Ingeniøren i Copenhagen Post ktoś posłużył się danymi logowania niewielkiej firmy informatycznej z Odense i przez wrzesień pobierał informacje z rejestru. Szacuje się, że wykonano 14 mln zapytań. Firma sama potwierdziła duńskiej telewizji TV 2, że padła ofiarą ataku. Jej dostęp do rejestru został odcięty.

Wycieku nie ujawnił alarm systemu monitorowania. Według Copenhagen Post zauważono go dopiero wtedy, gdy biuro CPR otrzymało wyjątkowo wysoki rachunek za zapytania z konta firmy. Wyciek wykryto w piątek 2 października.

Jak uzyskano dostęp do danych?

Kilka dni po upublicznieniu sprawy anonimowa osoba przekazała dziennikowi Politiken przez szyfrowany komunikator, że stoi za wyciekiem. Według The Local i Copenhagen Post twierdziła, że użyła hasła byłego pracownika firmy, ujawnionego wcześniej w innym wycieku danych. Hasło brzmiało 123456 i według hakera było używane na kilku kontach firmy, także na koncie administratora.

Haker twierdzi, że stworzył dwa programy: jeden pobierał dane z rejestru, a drugi zapisywał je w zewnętrznej lokalizacji. Jak mówi, program napisała sztuczna inteligencja. Eksperci ds. bezpieczeństwa, którzy zapoznali się z materiałami Politiken, w tym Emil Hørning z Defend Denmark, uznają jego relację za prawdopodobnie prawdziwą. Trzeba jednak zaznaczyć, że informacja o haśle pochodzi od samego hakera, a nie z opublikowanej przez władze analizy technicznej.

Haker zapowiedział, że nie zamierza sprzedawać ani publikować danych.

Jak rejestr ludności mógł wpuszczać z hasłem 123456?

To najbardziej zdumiewający element całej sprawy. Nie chodzi o bazę klientów małego sklepu internetowego, lecz o państwowy rejestr zawierający numery identyfikacyjne praktycznie wszystkich Duńczyków. Mimo to można było zalogować się na konto z hasłem, które od lat zajmuje czołowe miejsca wśród najczęściej używanych na świecie.

Odpowiedzialność nie spoczywa wyłącznie na jednej małej firmie. Jeśli system pozwala zalogować się z hasłem 123456, wadliwy jest również sam system. Dobrze zaprojektowana usługa w ogóle nie dopuszcza tak słabego hasła. Wymaga też drugiego składnika uwierzytelniania, na przykład kodu SMS lub aplikacji uwierzytelniającej, i alarmuje, gdy mały klient nagle wykonuje miliony zapytań. Badacz bezpieczeństwa z Uniwersytetu w Aarhus, Jens Myrup Pedersen, powiedział Copenhagen Post wprost: „Zabezpieczeń praktycznie nie było, to były otwarte drzwi”.

Duńska minister cyfryzacji Christina Egelund również przyznała w rozmowie z agencją Ritzau, że bezpieczeństwo systemu CPR nie było wystarczające. Zleciła analizę jego zabezpieczeń i zapewnia, że wdrożono nowe środki mające zapobiec podobnemu nieuprawnionemu dostępowi.

Co może się wydarzyć dalej?

Na tym etapie skutki można jedynie szacować. Choć haker zapewnia, że nie rozpowszechni danych, nie można uznać ich za bezpieczne. Raz skopiowane informacje mogą później trafić w niepowołane ręce.

• Fałszywe telefony stają się łatwiejsze. Znając imię, nazwisko, adres i numer identyfikacyjny, łatwo zadzwonić i wiarygodnie podszyć się pod bank, urząd lub policję. Duński minister sprawiedliwości Nicolai Wammen już zaapelował do mieszkańców, by nie podawali haseł ani innych poufnych informacji przez telefon lub e-mail, nawet jeśli rozmówca zna ich dane osobowe.
• Wzrośnie ryzyko kradzieży tożsamości. Sam numer identyfikacyjny nie daje dostępu do konta bankowego, ale w połączeniu z innymi danymi ułatwia działanie w cudzym imieniu.
• Uprawnienia dostępu do rejestru zostaną zweryfikowane. Prawdopodobne jest zaostrzenie zasad dostępu dla firm i wprowadzenie obowiązkowego uwierzytelniania dwuskładnikowego.
• Dyskusja przenosi się do innych krajów. Fiński urząd ds. cyfryzacji i danych ludnościowych Digi- ja väestötietovirasto poinformował fińskiego nadawcę publicznego Yle, że kontaktuje się z duńskimi władzami. Według urzędu podobny wyciek byłby teoretycznie możliwy także w Finlandii, ale tam wykonanie zapytania wymaga znajomości numeru identyfikacyjnego danej osoby.

Lekcja dla wszystkich: 123456 nie nadaje się na hasło

Duński przypadek to przypomnienie dla każdej firmy, także małej. Wystarczyło jedno słabe hasło na koncie byłego pracownika, by wyciekły dane ludności całego kraju. Oto co warto natychmiast sprawdzić we własnej firmie:

• Nigdy nie używaj prostych haseł. Hasła takie jak 123456, 000000, qwerty, password czy nazwa firmy z rokiem można odgadnąć w kilka sekund. Długa fraza hasłowa, na przykład cztery niezwiązane ze sobą słowa, jest bezpieczniejsza i łatwiejsza do zapamiętania.
• W każdej usłudze używaj innego hasła. Według hakera hasło wykorzystane w Danii wyciekło już wcześniej w innym miejscu. Menedżer haseł zapamięta je za ciebie.
• Włącz uwierzytelnianie dwuskładnikowe wszędzie, gdzie to możliwe. Nawet jeśli hasło wycieknie, samo nie wystarczy wtedy do zalogowania.
• Natychmiast usuwaj konta byłych pracowników. Duński wyciek zaczął się od konta, które nie powinno już działać.
• Monitoruj nietypową aktywność. Jeśli system nagle wykonuje tysiąc razy więcej zapytań, alarm powinien pojawić się od razu, a nie dopiero wraz z rachunkiem.

Jeśli budujesz lub kupujesz system, wymagaj od niego tego samego: dobra usługa nawet nie przyjmie hasła 123456.

Przeczytaj też

• Plynnosc finansowa zabija firmy mimo zysku
• Niedospanie realny koszt firmy
• Niedospanie koszty biznesu sen lidera

Źródła

• The Local Denmark: Cybercriminal claims to have used simple password to hack Danish CPR system (9.10.2026)
• The Copenhagen Post: ‘123456’ password used in massive Danish CPR data breach (10.10.2026)
• TechPowerUp: Hacker says a “123456” password got them into Denmark’s ID register
• Ingeniøren: Millioner af CPR-numre var beskyttet med adgangskoden 123456 (9.10.2026, po duńsku)
• Ritzau / sn.dk: It-kriminel hævder at stå bag CPR-angreb (po duńsku)