发生了什么
2026 年 10 月 5 日,丹麦政府披露了该国历史上最大的数据泄露事件之一。未经授权者获取了 中央人口登记册(CPR) 中约 880 万人 的 姓名、地址和 CPR 号码(丹麦个人身份号码)。这一数字包括在世者、已故者和移居国外者;登记册总计约 1,100 万条记录。
关键在于:从传统意义上讲,没有人入侵系统。攻击者 滥用了一家丹麦小公司查询 CPR 的合法权限。
手法
- 根据丹麦法律(CPR 法第 38 条),具有正当利益的公司可以查询其 已逐个识别的人员 的数据,而仅凭 CPR 号码即可完成识别。
- 在 9 月约 10 天内,该公司账户进行了 超过 1,400 万次查询尝试,批量试探 CPR 号码,约 880 万次返回了记录。
- 单次查询都在权限范围内,问题在于 数量:每天超过 100 万次,远超任何合理的业务需求。
- 申请了 姓名与地址保护 的人,这些信息未被泄露。
如何发现:一张账单
公司每次查询都要付费。当局在 6 日的新闻发布会上表示,异常是在 10 月 2 日(周五)晚 被发现的:CPR 管理部门准备向该公司开账单时,看到了一笔巨额费用。换言之,安全监控没有发现滥用,发现它的是计费部门。
应对
- 该公司的访问权限已被切断,公司名称未公开。
- 案件已报告 Datatilsynet(数据保护机构),警方正与其他国家的部门合作调查。截至 6 日,尚无人被确认身份或起诉。
- 部长克里斯蒂娜·埃格伦德下令对 CPR 进行 全面安全审查,目前判断是否会发放新的 CPR 号码还为时过早。
- 医疗等使用国家数字登录 MitID 的系统未受影响。
- 民防机构表示,CPR 号码 已不能单独用于确认身份。公共机构在电话服务中增加了额外的核验问题。
当前风险
掌握了姓名、地址和身份号码,诈骗者在电话和邮件中可以显得非常可信。政府提醒:即使对方已经知道您的姓名、地址和 CPR 号码,也 绝不要提供密码或机密信息。
给所有企业的教训
- 合法访问同样是攻击面。 合作伙伴账户和付费 API 需要设置用量上限和告警。
- 不仅监控入侵,也要监控使用异常。 每天 100 万次查询应在第一天就触发警报。
- 不要把可能公开的标识符当作身份证明。 证件号码不是密码,身份证号也一样。
- 审查第三方数据访问合同: 目的、预期用量与审计。
来源
- 丹麦研究、教育与数字化部(2026 年 10 月 5 日): https://fudm.dk/aktuelt/pressemeddelelser/2026/oktober/omfattende-uautoriseret-adgang-til-borgeres-cpr-oplysninger/
- The Hacker News: https://thehackernews.com/2026/10/denmark-says-attackers-accessed-cpr.html
- The Next Web: https://thenextweb.com/news/denmark-cpr-breach-8-8-million-records
- CSIS Security Group: https://www.csis.com/csis-tech-blog/the-hub/cpr-breach-denmark
想检查合作伙伴和 API 如何访问您公司的数据吗?KGA IT 提供免费咨询:kga-it.com