Chuyện gì đã xảy ra
Ngày 5/10/2026, chính phủ Đan Mạch công bố một trong những vụ lộ dữ liệu lớn nhất lịch sử nước này. Những đối tượng trái phép đã lấy được họ tên, địa chỉ và số CPR (mã định danh cá nhân của Đan Mạch) của khoảng 8,8 triệu người trong Sổ đăng ký Cá nhân Trung ương (CPR). Con số này gồm người còn sống, đã mất và đã di cư; sổ đăng ký có khoảng 11 triệu bản ghi.
Chi tiết then chốt: không ai xâm nhập hệ thống theo nghĩa truyền thống. Kẻ tấn công lạm dụng quyền truy cập hợp pháp của một công ty nhỏ ở Đan Mạch để tra cứu dữ liệu CPR.
Cách thức
- Theo luật Đan Mạch (điều 38 Luật CPR), công ty có lợi ích chính đáng có thể tra cứu dữ liệu về những người đã được xác định riêng lẻ từ trước. Chỉ cần số CPR là đủ để xác định.
- Trong khoảng 10 ngày của tháng 9, tài khoản công ty đó đã thực hiện hơn 14 triệu lượt tra cứu, thử số CPR hàng loạt. Khoảng 8,8 triệu lượt trả về bản ghi.
- Mỗi lượt tra cứu riêng lẻ đều nằm trong quyền hạn. Vấn đề là khối lượng: hơn một triệu lượt mỗi ngày, vượt xa mọi nhu cầu kinh doanh hợp lý.
- Những người đăng ký bảo vệ tên và địa chỉ không bị lộ các thông tin đó.
Phát hiện nhờ hóa đơn
Các công ty trả phí cho mỗi lượt tra cứu. Tại họp báo ngày 6, giới chức cho biết bất thường lộ ra vào tối thứ Sáu, 2/10, khi cơ quan quản lý CPR lập hóa đơn cho công ty và thấy một số tiền khổng lồ. Nói cách khác, giám sát bảo mật không phát hiện ra việc lạm dụng; bộ phận thanh toán mới là nơi phát hiện.
Phản ứng
- Quyền truy cập của công ty đã bị thu hồi; tên công ty chưa được công bố.
- Vụ việc đã được báo cáo cho Datatilsynet (cơ quan bảo vệ dữ liệu), cảnh sát đang điều tra cùng cơ quan các nước khác. Tính đến ngày 6, chưa ai bị xác định hay buộc tội.
- Bộ trưởng Christina Egelund ra lệnh rà soát bảo mật toàn diện hệ thống CPR. Còn quá sớm để nói liệu người dân có được cấp số CPR mới hay không.
- Các hệ thống dùng MitID (đăng nhập số quốc gia), như y tế, không bị ảnh hưởng.
- Cơ quan phòng vệ dân sự cho biết số CPR không còn có thể dùng riêng để xác minh danh tính. Các cơ quan công quyền đã thêm câu hỏi xác minh khi hỗ trợ qua điện thoại.
Rủi ro hiện tại
Có trong tay họ tên, địa chỉ và mã định danh, kẻ lừa đảo có thể tỏ ra rất đáng tin qua điện thoại và email. Chính phủ cảnh báo: tuyệt đối không cung cấp mật khẩu hay thông tin bí mật cho bất kỳ ai gọi điện hoặc nhắn tin, kể cả khi họ đã biết tên, địa chỉ và số CPR của bạn.
Bài học cho mọi doanh nghiệp
- Quyền truy cập hợp pháp cũng là bề mặt tấn công. Tài khoản đối tác và API trả phí cần giới hạn khối lượng và cảnh báo.
- Giám sát bất thường trong sử dụng, không chỉ xâm nhập. Một triệu lượt tra cứu mỗi ngày phải kích hoạt cảnh báo ngay ngày đầu.
- Đừng dùng mã định danh có thể công khai làm bằng chứng danh tính. Số giấy tờ không phải mật khẩu; số CCCD cũng vậy.
- Rà soát hợp đồng truy cập dữ liệu của bên thứ ba: mục đích, khối lượng dự kiến và kiểm toán.
Nguồn
- Bộ Nghiên cứu, Giáo dục và Số hóa Đan Mạch (5/10/2026): https://fudm.dk/aktuelt/pressemeddelelser/2026/oktober/omfattende-uautoriseret-adgang-til-borgeres-cpr-oplysninger/
- The Hacker News: https://thehackernews.com/2026/10/denmark-says-attackers-accessed-cpr.html
- The Next Web: https://thenextweb.com/news/denmark-cpr-breach-8-8-million-records
- CSIS Security Group: https://www.csis.com/csis-tech-blog/the-hub/cpr-breach-denmark
Bạn muốn rà soát cách đối tác và API truy cập dữ liệu công ty? KGA IT cung cấp tư vấn miễn phí: kga-it.com.