Apa yang berlaku
Pada 5 Oktober 2026, kerajaan Denmark mendedahkan salah satu pendedahan data terbesar dalam sejarah negara itu. Pihak tidak sah memperoleh nama, alamat dan nombor CPR (nombor pengenalan diri Denmark) kira-kira 8.8 juta orang dalam Daftar Orang Pusat (CPR). Angka itu termasuk yang masih hidup, yang telah meninggal dan yang berhijrah; daftar itu mempunyai kira-kira 11 juta entri.
Butiran penting: tiada sesiapa menceroboh sistem dalam erti kata klasik. Penyerang menyalahgunakan akses sah sebuah syarikat kecil Denmark untuk mencari data CPR.
Bagaimana ia dilakukan
- Di bawah undang-undang Denmark (seksyen 38 Akta CPR), syarikat yang mempunyai kepentingan sah boleh mendapatkan data orang yang telah dikenal pasti secara individu. Nombor CPR sahaja sudah mencukupi.
- Selama kira-kira 10 hari pada bulan September, akaun syarikat itu membuat lebih 14 juta cubaan carian, menguji nombor CPR secara pukal. Kira-kira 8.8 juta memulangkan rekod.
- Setiap carian secara sendirian berada dalam kebenaran. Masalahnya ialah jumlah: lebih sejuta sehari, jauh melebihi sebarang keperluan perniagaan yang munasabah.
- Orang yang mempunyai perlindungan nama dan alamat tidak terdedah butiran tersebut.
Bagaimana ia ditemui: melalui bil
Syarikat membayar bagi setiap carian. Pegawai memberitahu sidang media pada 6 Oktober bahawa anomali muncul pada petang Jumaat, 2 Oktober, apabila pentadbiran CPR hendak mengebil syarikat itu dan melihat jumlah yang sangat besar. Dengan kata lain, pemantauan keselamatan tidak mengesan penyalahgunaan; bahagian pengebilan yang mengesannya.
Tindak balas
- Akses syarikat itu telah dibatalkan; nama syarikat tidak didedahkan.
- Kes dilaporkan kepada Datatilsynet (pihak berkuasa perlindungan data), dan polis menyiasat bersama pihak berkuasa negara lain. Sehingga 6 Oktober, tiada sesiapa dikenal pasti atau didakwa.
- Menteri Christina Egelund mengarahkan semakan keselamatan penuh terhadap CPR. Terlalu awal untuk menentukan sama ada nombor CPR baharu akan dikeluarkan.
- Sistem yang menggunakan MitID (log masuk digital kebangsaan), seperti penjagaan kesihatan, tidak terjejas.
- Agensi perlindungan awam berkata nombor CPR tidak lagi boleh digunakan bersendirian untuk mengenal pasti seseorang. Agensi awam menambah soalan tambahan untuk sokongan telefon.
Risiko sekarang
Dengan nama, alamat dan nombor pengenalan di tangan, penipu boleh kedengaran sangat meyakinkan melalui panggilan dan e-mel. Kerajaan memberi amaran: jangan sekali-kali memberikan kata laluan atau maklumat sulit kepada sesiapa yang menelefon atau menulis, walaupun mereka sudah tahu nama, alamat dan nombor CPR anda.
Pengajaran untuk mana-mana syarikat
- Akses sah juga merupakan permukaan serangan. Akaun rakan kongsi dan API berbayar memerlukan had jumlah dan amaran.
- Pantau anomali penggunaan, bukan hanya pencerobohan. Sejuta carian sehari sepatutnya mencetuskan penggera pada hari pertama.
- Jangan gunakan pengenal awam sebagai bukti identiti. Nombor pengenalan bukan kata laluan; begitu juga nombor MyKad.
- Semak kontrak akses data pihak ketiga: tujuan, jumlah dijangka dan audit.
Sumber
- Kementerian Penyelidikan, Pendidikan dan Pendigitalan Denmark (5 Okt 2026): https://fudm.dk/aktuelt/pressemeddelelser/2026/oktober/omfattende-uautoriseret-adgang-til-borgeres-cpr-oplysninger/
- The Hacker News: https://thehackernews.com/2026/10/denmark-says-attackers-accessed-cpr.html
- The Next Web: https://thenextweb.com/news/denmark-cpr-breach-8-8-million-records
- CSIS Security Group: https://www.csis.com/csis-tech-blog/the-hub/cpr-breach-denmark
Mahu menyemak cara rakan kongsi dan API mengakses data syarikat anda? KGA IT menawarkan konsultasi percuma: kga-it.com.