何が起きたか
2026年10月5日、デンマーク政府は同国史上最大級のデータ流出を公表しました。権限のない者が、中央個人登録簿(CPR) に登録された約 880万人 の 氏名、住所、CPR 番号(デンマークの個人識別番号)を取得しました。この数には存命者、死亡者、国外転出者が含まれ、登録簿全体は約1100万件です。
最大のポイントは、古典的な意味で システムに侵入した者はいない ことです。攻撃者は、CPR を照会する権限を持つ デンマークの小企業の正当なアクセス権を悪用 しました。
手口
- デンマーク法(CPR 法第38条)では、正当な利益を持つ企業は、すでに個別に特定した人物 のデータを照会できます。その特定には CPR 番号だけで十分です。
- 9月の約10日間、その企業のアカウントは 1400万回以上の照会 を行い、CPR 番号を大量に試しました。約880万件が該当記録を返しました。
- 1件ずつの照会は権限の範囲内でした。問題は 量 で、1日100万件超という、どんな業務上の必要性も大きく超える規模でした。
- 氏名・住所の保護 を登録している人は、それらの情報は流出していません。
発覚のきっかけ:請求書
企業は照会ごとに料金を払います。6日の記者会見で当局が説明したところでは、異常は 10月2日(金)夜、CPR 当局がその企業に請求しようとして巨額に気づいたことで判明しました。つまり、セキュリティ監視は悪用を検知できず、検知したのは請求部門でした。
対応
- 企業のアクセスは停止され、社名は公表されていません。
- Datatilsynet(データ保護当局)に届け出がなされ、警察が他国当局と連携して捜査中です。6日時点で、特定・起訴された人物はいません。
- クリスティーナ・エーゲルン大臣は CPR の 全面的なセキュリティ見直し を指示しました。新しい CPR 番号を発行するかは、まだ判断できないとしています。
- 医療など、国のデジタル認証 MitID を使うシステムは影響を受けていません。
- 民間防衛庁は、CPR 番号は もはやそれだけで本人確認に使えない と述べました。公的機関は電話窓口で追加の確認質問を導入しました。
今後のリスク
氏名、住所、識別番号がそろえば、詐欺師は電話やメールで非常にもっともらしく振る舞えます。政府は、たとえ相手が氏名・住所・CPR 番号を知っていても、パスワードや機密情報を決して教えない よう呼びかけています。
あらゆる企業への教訓
- 正当なアクセスも攻撃対象になる。 取引先のアカウントや有料 API には量の上限とアラートが必要
- 侵入だけでなく、利用の異常を監視する。 1日100万件の照会は初日に警報が鳴るべき
- 公開されうる識別子を本人確認の証拠にしない。 番号はパスワードではない。日本のマイナンバーも同じ
- 第三者のデータアクセス契約を見直す: 目的、想定量、監査
出典
- デンマーク研究・教育・デジタル化省(2026年10月5日): https://fudm.dk/aktuelt/pressemeddelelser/2026/oktober/omfattende-uautoriseret-adgang-til-borgeres-cpr-oplysninger/
- The Hacker News: https://thehackernews.com/2026/10/denmark-says-attackers-accessed-cpr.html
- The Next Web: https://thenextweb.com/news/denmark-cpr-breach-8-8-million-records
- CSIS Security Group: https://www.csis.com/csis-tech-blog/the-hub/cpr-breach-denmark
取引先や API が自社データにどうアクセスしているか見直したいですか?KGA IT は無料相談を受け付けています:kga-it.com