Ano ang nangyari
Noong Oktubre 5, 2026, ibinunyag ng gobyerno ng Denmark ang isa sa pinakamalalaking data exposure sa kasaysayan ng bansa. Nakuha ng mga hindi awtorisadong partido ang pangalan, address at CPR number (personal ID number ng Denmark) ng mga 8.8 milyong tao sa Central Person Register (CPR). Kasama sa bilang ang mga buhay, patay at nangibang-bansa; mga 11 milyong entry ang laman ng register.
Ang mahalagang detalye: walang pumasok sa sistema sa klasikong kahulugan. Inabuso ng mga umaatake ang legal na access ng isang maliit na kumpanyang Danish para mag-lookup ng CPR data.
Paano ito ginawa
- Sa ilalim ng batas ng Denmark (seksyon 38 ng CPR Act), maaaring kumuha ng data ang mga kumpanyang may lehitimong interes tungkol sa mga taong natukoy na nila nang isa-isa. Sapat na ang CPR number para doon.
- Sa loob ng mga 10 araw noong Setyembre, gumawa ang account ng kumpanyang iyon ng mahigit 14 milyong lookup attempt, sinusubok ang CPR numbers nang maramihan. Mga 8.8 milyon ang nagbalik ng record.
- Pasok sa permiso ang bawat lookup kung titingnan nang isa-isa. Ang problema ay ang dami: mahigit isang milyon kada araw, malayo sa anumang makatwirang pangangailangan ng negosyo.
- Hindi nalantad ang mga detalyeng iyon ng mga taong may proteksyon sa pangalan at address.
Paano natuklasan: sa pamamagitan ng bill
Nagbabayad ang mga kumpanya kada lookup. Sinabi ng mga opisyal sa press briefing noong ika-6 na lumitaw ang anomalya noong gabi ng Biyernes, Oktubre 2, nang singilin ng CPR administration ang kumpanya at makita ang napakalaking halaga. Ibig sabihin, hindi nahuli ng security monitoring ang pang-aabuso; ang billing ang nakahuli.
Tugon
- Binawi ang access ng kumpanya; hindi pa ito pinapangalanan sa publiko.
- Iniulat ang kaso sa Datatilsynet (data protection authority), at nag-iimbestiga ang pulisya kasama ang mga awtoridad sa ibang bansa. Hanggang ika-6, wala pang natukoy o nakasuhan.
- Nag-utos si Ministro Christina Egelund ng buong security review ng CPR. Masyado pang maaga para sabihin kung bibigyan ng bagong CPR number ang mga tao.
- Hindi naapektuhan ang mga sistemang gumagamit ng MitID (pambansang digital login), gaya ng healthcare.
- Sinabi ng civil protection agency na hindi na maaasahan nang mag-isa ang CPR number para kilalanin ang isang tao. Nagdagdag ang mga ahensya ng dagdag na tanong sa phone support.
Ang panganib ngayon
Dahil may pangalan, address at ID number na, kayang magmukhang kapani-paniwala ng mga scammer sa tawag at email. Babala ng gobyerno: huwag kailanman magbigay ng password o kumpidensyal na impormasyon sa sinumang tumatawag o sumusulat, kahit alam na nila ang iyong pangalan, address at CPR number.
Mga aral para sa anumang kumpanya
- Attack surface din ang lehitimong access. Kailangan ng volume limits at alerts ang partner accounts at bayad na API.
- Bantayan ang anomalya sa paggamit, hindi lang ang pagpasok. Dapat tumunog ang alarma sa unang araw ng isang milyong lookup kada araw.
- Huwag gamiting patunay ng pagkakakilanlan ang pampublikong identifier. Hindi password ang ID number; ganoon din ang PhilSys number.
- Suriin ang mga kontrata sa data access ng third party: layunin, inaasahang dami at audit.
Mga pinagmulan
- Ministry of Research, Education and Digitalisation ng Denmark (Okt 5, 2026): https://fudm.dk/aktuelt/pressemeddelelser/2026/oktober/omfattende-uautoriseret-adgang-til-borgeres-cpr-oplysninger/
- The Hacker News: https://thehackernews.com/2026/10/denmark-says-attackers-accessed-cpr.html
- The Next Web: https://thenextweb.com/news/denmark-cpr-breach-8-8-million-records
- CSIS Security Group: https://www.csis.com/csis-tech-blog/the-hub/cpr-breach-denmark
Gusto mo bang suriin kung paano ina-access ng partners at APIs ang data ng iyong kumpanya? Nag-aalok ang KGA IT ng libreng konsultasyon: kga-it.com.