Z dánskeho registra unikli údaje 8,8 milióna ľudí. Heslom malo byť 123456

Z dánskeho registra obyvateľov, známeho ako CPR, v septembri 2026 získali osobné identifikačné čísla, mená a adresy takmer 8,8 milióna ľudí. Údaje pokrývajú prakticky celé obyvateľstvo krajiny vrátane už zosnulých osôb. Dánske ministerstvo výskumu, vzdelávania a digitalizácie informovalo o úniku v pondelok 5. októbra. O niekoľko dní neskôr vyšla najavo informácia, ktorá upútala pozornosť v celej Európe: podľa samotného hackera sa dalo do systému dostať s heslom 123456.

Čo sa stalo?

CPR je centrálny dánsky register osobných údajov, v ktorom má každý obyvateľ vlastné číslo CPR. Ide o bežne a široko používaný identifikátor, podobne ako fínske osobné identifikačné číslo. Za určitých podmienok majú do registra prístup aj súkromné firmy a organizácie, napríklad keď potrebujú overiť aktuálnu adresu zákazníka alebo člena.

Práve prístup firiem sa ukázal ako slabé miesto. Podľa denníkov Ingeniøren a Copenhagen Post niekto počas septembra používal prihlasovacie údaje malej IT firmy z Odense na získavanie údajov z registra. Podľa odhadov vykonal 14 miliónov dopytov. Firma dánskej televízii TV 2 potvrdila, že sa stala terčom útoku, a jej prístup do registra bol zrušený.

Únik neodhalilo upozornenie monitorovacieho systému. Podľa Copenhagen Post si ho všimli až vtedy, keď úrad CPR dostal nezvyčajne vysokú faktúru za dopyty z firemného účtu. Únik odhalili v piatok 2. októbra.

Ako sa útočník dostal k údajom?

Niekoľko dní po zverejnení úniku anonymná osoba prostredníctvom šifrovanej komunikačnej služby oznámila denníku Politiken, že za ním stojí. Podľa The Local a Copenhagen Post uviedla, že použila heslo bývalého zamestnanca firmy, ktoré sa predtým objavilo pri inom úniku údajov. Heslo bolo 123456 a podľa jej tvrdenia sa používalo pri viacerých firemných účtoch vrátane administrátorského.

Hacker tvrdí, že vytvoril dva programy: jeden získaval údaje z registra a druhý ich ukladal na externé miesto. Podľa neho program napísala umelá inteligencia. Odborníci na informačnú bezpečnosť, ktorí preskúmali materiály Politikenu, medzi nimi Emil Hørning zo spoločnosti Defend Denmark, považujú hackerovu verziu za pravdepodobne pravdivú. Informácia o hesle však vychádza z jeho vlastného tvrdenia, nie z technickej správy zverejnenej úradmi.

Hacker vyhlásil, že údaje nemieni predať ani zverejniť.

Ako mohol register obyvateľov umožniť prístup s heslom 123456?

Toto je najzarážajúcejšia časť celého prípadu. Nejde o databázu zákazníkov malého internetového obchodu, ale o štátny register, ktorý obsahuje osobné identifikačné čísla prakticky všetkých Dánov. Napriek tomu sa doň dalo dostať cez účet s heslom, ktoré sa rok čo rok drží na čele rebríčkov najpoužívanejších hesiel na svete.

Zodpovednosť nenesie iba jedna malá firma. Ak systém prijme prihlásenie s heslom 123456, chyba je aj v samotnom systéme. Dobre navrhnutá služba také slabé heslo vôbec neprijme. Navyše vyžaduje druhý faktor overenia, napríklad SMS kód alebo autentifikačnú aplikáciu, a upozorní, keď jeden malý klient zrazu vykoná milióny dopytov. Jens Myrup Pedersen, výskumník informačnej bezpečnosti z Aarhuskej univerzity, opísal situáciu pre Copenhagen Post priamo: „Zabezpečenie prakticky neexistovalo, boli to otvorené dvere.“

Aj dánska ministerka digitalizácie Christina Egelund pre tlačovú agentúru Ritzau priznala, že zabezpečenie systému CPR nebolo dostatočné. Objednala si bezpečnostnú analýzu systému a tvrdí, že boli zavedené nové opatrenia na zabránenie podobným neoprávneným prístupom.

Čo môže nasledovať?

Dôsledky možno zatiaľ iba odhadovať. Hoci hacker tvrdí, že údaje nebude šíriť, na ich bezpečnosť sa už nedá spoliehať. Raz skopírované údaje môžu neskôr skončiť v nesprávnych rukách.

• Pribudne podvodov. S menom, adresou a osobným identifikačným číslom je ľahké zavolať a dôveryhodne sa vydávať za banku, úrad alebo políciu. Dánsky minister spravodlivosti Nicolai Wammen už občanov vyzval, aby telefonicky ani e-mailom neposkytovali heslá či iné dôverné údaje, aj keď volajúci pozná ich osobné údaje.
• Rastie riziko krádeže identity. Samotné osobné identifikačné číslo nestačí na otvorenie bankového účtu, no spolu s ďalšími údajmi uľahčuje konanie v mene niekoho iného.
• Prístupové práva do registra sa prehodnotia. Pravdepodobne sa sprísni prístup firiem do registra a dvojfaktorové overovanie sa stane povinným.
• Diskusia sa rozširuje do ďalších krajín. Digi- ja väestötietovirasto, fínsky štátny úrad pre digitálne služby a údaje o obyvateľstve, povedal fínskemu verejnoprávnemu vysielateľovi Yle, že je v kontakte s dánskymi úradmi. Podľa úradu by bol podobný únik teoreticky možný aj vo Fínsku, tam však treba pri dopyte osobné identifikačné číslo poznať vopred.

Poučenie pre všetkých: 123456 nie je heslo

Dánsky prípad je varovaním pre každú firmu, aj malú. Jediné slabé heslo pri účte jedného bývalého zamestnanca stačilo na únik údajov o obyvateľstve celej krajiny. Vo vlastnej firme sa oplatí ihneď skontrolovať toto:

• Nikdy nepoužívajte jednoduché heslá. Heslá ako 123456, 000000, qwerty, password či názov firmy s letopočtom možno uhádnuť za pár sekúnd. Dlhá prístupová fráza, napríklad štyri nesúvisiace slová, je silnejšia a ľahšie sa pamätá.
• Pre každú službu používajte iné heslo. Podľa hackera heslo použité v Dánsku uniklo už skôr inde. Správca hesiel si heslá zapamätá za vás.
• Zapnite si dvojstupňové overovanie všade, kde je to možné. Aj keby heslo uniklo, samo osebe už nebude stačiť na prihlásenie.
• Okamžite odstráňte účty bývalých zamestnancov. Dánsky únik sa začal účtom, ktorý už nemal byť aktívny.
• Sledujte nezvyčajnú aktivitu. Ak systém zrazu vykonáva tisícnásobok dopytov, upozornenie má prísť okamžite, nie až s faktúrou.

Ak systém vyvíjate alebo kupujete, požadujte to isté aj od neho: dobrá služba heslo 123456 vôbec neprijme.

Prečítajte si aj

• Performance marketer nie ppc klikac
• Citanie s porozumenim ai vo firmach
• Kapitalova efektivita vyhoda slovenskych startupov

Zdroje

• The Local Denmark: Cybercriminal claims to have used simple password to hack Danish CPR system (9.10.2026)
• The Copenhagen Post: ‘123456’ password used in massive Danish CPR data breach (10.10.2026)
• TechPowerUp: Hacker says a “123456” password got them into Denmark’s ID register
• Ingeniøren: Millioner af CPR-numre var beskyttet med adgangskoden 123456 (9.10.2026, v dánčine)
• Ritzau / sn.dk: It-kriminel hævder at stå bag CPR-angreb (v dánčine)