Danska folkbokföringen läckte uppgifter om 8,8 miljoner – lösenordet uppges ha varit 123456

Personnummer, namn och adresser till nära 8,8 miljoner personer hämtades ur Danmarks folkbokföringsregister, CPR-registret, i september 2026. Antalet motsvarar i praktiken hela landets befolkning och omfattar även personer som har avlidit. Danmarks forsknings-, utbildnings- och digitaliseringsministerium meddelade om läckan måndagen den 5 oktober. Några dagar senare kom en uppgift som har väckt uppmärksamhet i hela Europa: enligt hackarens egen berättelse gick det att ta sig in med lösenordet 123456.

nn

Vad hände?

n

CPR-registret är Danmarks centrala personregister, där varje invånare har ett eget CPR-nummer. Numret är en vardaglig identitetsbeteckning som används överallt, ungefär som den finländska personbeteckningen. Även privata företag och organisationer får under vissa villkor tillgång till registret, exempelvis för att kontrollera en kunds eller medlems aktuella adress.

n

Just företagens tillgång var den svaga punkten. Enligt Ingeniøren och Copenhagen Post använde någon inloggningsuppgifter från ett litet it-företag i Odense för att hämta uppgifter ur registret under september. Uppskattningsvis gjordes 14 miljoner sökningar. Företaget har bekräftat för danska TV 2 att det utsatts för en attack och har kopplats bort från registret.

n

Läckan upptäcktes inte genom ett larm från något övervakningssystem. Enligt Copenhagen Post uppdagades den först när CPR-kontoret fick en ovanligt stor faktura för sökningar från företagets konto. Läckan upptäcktes fredagen den 2 oktober.

nn

Hur kom någon åt uppgifterna?

n

Några dagar efter att läckan offentliggjorts kontaktade en anonym person Politiken via en krypterad meddelandetjänst och uppgav sig ligga bakom den. Enligt The Local och Copenhagen Post berättade personen att en tidigare anställds lösenord hade använts. Det hade redan röjts i en annan dataläcka. Lösenordet var 123456 och användes enligt personen för flera av företagets konton, även administratörskontot.

n

Hackaren uppgav sig ha byggt två program: ett som hämtade uppgifter ur registret och ett som sparade dem på en annan plats. Enligt hackaren skrevs programmet av artificiell intelligens. Säkerhetsexperter som granskat Politikens material, däribland Emil Hørning på Defend Denmark, bedömer att berättelsen sannolikt stämmer. Uppgiften om lösenordet bygger dock på hackarens egen berättelse, inte på någon teknisk utredning som myndigheterna har publicerat.

n

Hackaren har sagt sig inte ha för avsikt att sälja eller publicera uppgifterna.

nn

Hur kunde folkbokföringen släppa in någon med lösenordet 123456?

n

Det här är det mest häpnadsväckande i hela fallet. Det handlar om ett statligt register som innehåller personnumret för i praktiken varje dansk. Ändå gick det att komma in med ett konto vars lösenord år efter år ligger i toppen på listorna över världens vanligaste lösenord.

n

Ansvaret ligger inte enbart hos ett litet företag. När ett system tillåter inloggning med lösenordet 123456 finns felet också i systemet. En genomtänkt tjänst godtar inte ett så svagt lösenord över huvud taget. Den kräver dessutom en andra autentiseringsfaktor, exempelvis en sms-kod eller en autentiseringsapp, och slår larm när en liten kund plötsligt gör miljontals sökningar. It-säkerhetsforskaren Jens Myrup Pedersen vid Aarhus universitet uttryckte det rakt på sak i Copenhagen Post: ”Det fanns i praktiken ingen säkerhet, det var en öppen dörr.”

n

Även Danmarks digitaliseringsminister Christina Egelund har medgett för nyhetsbyrån Ritzau att säkerheten i CPR-systemet inte har varit tillräckligt god. Hon har beställt en säkerhetsanalys av systemet och uppger att nya åtgärder har införts för att förhindra liknande obehörig åtkomst.

nn

Vad kan hända nu?

n

Konsekvenserna går i nuläget bara att uppskatta. Även om hackaren säger sig inte vilja sprida uppgifterna går det inte att lita på att de är säkra. Material som väl har kopierats kan senare hamna i orätta händer.

n

n
• Falska samtal blir lättare. Med namn, adress och personnummer är det lätt att ringa och trovärdigt utge sig för att företräda en bank, en myndighet eller polisen. Danmarks justitieminister Nicolai Wammen har redan uppmanat invånarna att inte lämna ut lösenord eller andra förtroliga uppgifter via telefon eller mejl, även om den som ringer känner till deras personuppgifter.

n

• Risken för identitetsstöld ökar. Ett personnummer räcker inte ensamt för att öppna ett bankkonto, men tillsammans med andra uppgifter gör det lättare att agera i någon annans namn.

n

• Behörigheterna till registret ses över. Företagens tillgång till registret kommer sannolikt att begränsas och tvåfaktorsautentisering bli obligatorisk.

n

• Diskussionen sprider sig till andra länder. Finlands myndighet för digitalisering och befolkningsdata, Digi- ja väestötietovirasto, uppgav för det finländska public service-bolaget Yle att den har kontakt med danska myndigheter. Enligt myndigheten är en liknande läcka teoretiskt möjlig också i Finland, men där krävs en personbeteckning som redan är känd för att göra en sökning.

n

nn

Lärdomen för alla: 123456 är inget lösenord

n

Det danska fallet är en påminnelse till alla företag, även små. Ett svagt lösenord på en tidigare anställds konto räckte för att läcka befolkningsuppgifter från ett helt land. Kontrollera det här i det egna företaget redan nu:

n

n
• Använd aldrig enkla lösenord. Exempelvis 123456, 000000, qwerty, password eller företagsnamnet följt av ett årtal kan gissas på några sekunder. En lång lösenfras, till exempel fyra ord utan inbördes samband, är både starkare och lättare att minnas.

n

• Använd olika lösenord för olika tjänster. Enligt hackaren hade lösenordet som användes i Danmark redan läckt någon annanstans. En lösenordshanterare håller reda på lösenorden åt dig.

n

• Aktivera tvåfaktorsautentisering överallt där det går. Då räcker inte lösenordet ensamt för att logga in, även om det läcker.

n

• Ta bort tidigare anställdas konton direkt. Den danska läckan började med ett konto som inte längre borde ha fungerat.

n

• Håll koll på avvikelser. Om ett system plötsligt gör tusen gånger fler sökningar ska larmet komma direkt, inte först med fakturan.

n

n

Ställ samma krav om du bygger eller köper ett system: en bra tjänst accepterar inte ens lösenordet 123456.

nn

Läs också

• Pre-loved tar över: så vände APLACE om hela affären
• Tjänstepension 2026: Så mycket har svensken sparat
• Kompetensförsörjning kraschar i en tudelad skola

Källor

• The Local Denmark: Cybercriminal claims to have used simple password to hack Danish CPR system (9.10.2026)
• The Copenhagen Post: ‘123456’ password used in massive Danish CPR data breach (10.10.2026)
• TechPowerUp: Hacker says a “123456” password got them into Denmark’s ID register
• Ingeniøren: Millioner af CPR-numre var beskyttet med adgangskoden 123456 (9.10.2026, på danska)
• Ritzau / sn.dk: It-kriminel hævder at stå bag CPR-angreb (på danska)