L’un des mots de passe les plus prévisibles au monde pourrait avoir contribué à une fuite de données concernant les informations personnelles d’environ 8,8 millions de personnes au Danemark.
Une personne qui affirme être responsable de l’intrusion dans le registre central des personnes du Danemark (CPR) a déclaré au journal danois Politiken avoir obtenu un mot de passe divulgué appartenant à un ancien employé d’une entreprise danoise. Par ailleurs, selon le rapport publié le 13 oct. par The Register, Politiken a indiqué qu’au moins trois comptes de Pays ApS, dont un compte administrateur, utilisaient le mot de passe « 123456 ».
Les autorités danoises ont confirmé l’accès non autorisé au registre, mais n’ont pas établi publiquement que ce mot de passe faible constituait le point d’entrée initial. De nouveaux éléments indiquent également que l’attaquant présumé a utilisé du code généré par IA pour automatiser la récupération d’informations personnelles, ce qui soulève des inquiétudes concernant la sécurité des tiers, la protection des comptes à privilèges et la surveillance des activités suspectes dans les bases de données.
Comment le mot de passe « 123456 » a été associé à la fuite
Le registre central des personnes du Danemark contient environ 11 millions de dossiers concernant les résidents actuels, les personnes décédées et celles qui ont auparavant vécu dans le pays.
Dans une communication gouvernementale du 5 oct., les autorités danoises ont confirmé que des personnes non autorisées avaient exploité l’accès légitime d’une entreprise privée au registre, obtenant ainsi accès aux informations personnelles d’environ 8,8 millions de personnes.
Les autorités danoises ont confirmé l’accès non autorisé aux noms, adresses, numéros CPR et autres informations d’environ 8,8 millions de personnes enregistrées. Le gouvernement a déclaré que les noms et adresses protégés n’étaient pas concernés par l’accès non autorisé et que l’étendue exacte des informations obtenues faisait toujours l’objet d’une enquête.
Le gouvernement a indiqué que son enquête se poursuivait. Le chiffre de 8,8 millions inclut des personnes décédées et d’anciens résidents ; il ne correspond donc pas à la population actuelle du Danemark. L’entreprise concernée était Pays ApS, dont la directrice générale, Sophie Laursen, a confirmé le 9 oct. que son accès légitime au registre CPR avait été détourné.
La personne qui revendique la responsabilité a déclaré à Politiken avoir créé deux programmes informatiques pour récupérer les informations du CPR et les stocker à l’extérieur. Les autorités danoises n’ont pas confirmé de manière indépendante cette version de l’intrusion.
Selon un article de l’agence de presse danoise Ritzau, cette personne a fourni à Politiken un fichier contenant des numéros CPR. Le journal a transmis le fichier à un expert en cybersécurité, qui a jugé plausible le récit de l’attaquant. Dans un article complémentaire publié le 13 oct., Ritzau a indiqué que l’attaquant présumé aurait utilisé un programme généré par IA pour récupérer 8 749 975 numéros CPR.
Deux experts ont examiné plus de 40 000 lignes de code et conclu que celui-ci semblait avoir été généré par IA. Leur évaluation portait sur l’origine apparente du code, et non sur la confirmation indépendante du nombre de dossiers récupérés revendiqué.
Selon les informations de Politiken, le programme a recherché par erreur les personnes nées en 1877 au lieu de celles nées en 1977, ce qui explique l’absence des numéros CPR associés à l’année de naissance 1977 dans les éléments transmis par l’attaquant présumé au journal.
Les autorités danoises n’ont pas confirmé de manière indépendante le nombre total d’extractions revendiqué par l’attaquant.
Selon des documents obtenus par la chaîne danoise TV 2, la partie non autorisée a eu accès au système CPR pendant environ 21 jours et 17 heures, à partir du 10 septembre.
Environ 14 millions de recherches automatisées ont été effectuées via l’accès autorisé de l’entreprise, apparemment pour identifier des numéros CPR valides. Les premières constatations indiquent que l’activité non autorisée a cessé autour du 20 septembre, mais l’accès compromis est resté disponible jusqu’au 2 octobre, date à laquelle les autorités ont découvert l’incident et mis fin à l’accès de l’entreprise.
Selon l’Agence danoise de protection des données, la notification de la fuite décrivait de nombreuses recherches automatisées destinées à identifier des numéros CPR valides. L’agence a reçu la notification le 4 octobre et a commencé à enquêter sur l’incident, notamment sur son déroulement et sur l’identité du responsable du traitement des informations personnelles concernées.
Les quelque 14 millions de recherches correspondent à des requêtes dans la base de données, tandis que le chiffre de 8 749 975 correspond au nombre de numéros CPR récupérés revendiqué par l’attaquant présumé. Les autorités danoises ont confirmé un accès non autorisé affectant environ 8,8 millions de personnes enregistrées, mais la quantité exacte d’informations finalement extraites et conservées reste incertaine.
Le gouvernement a rendu l’incident public le 5 octobre. Lors d’une conférence de presse le lendemain, Mikkel Leihardt, directeur de département au ministère danois de la Recherche, de l’Éducation et de la Numérisation, a expliqué que les autorités avaient découvert la fuite après avoir constaté des frais inhabituellement élevés liés aux recherches de l’entreprise dans le registre CPR, selon Ritzau.
La personne qui revendique la responsabilité aurait déclaré ne pas avoir l’intention de vendre ou de publier les informations. Cette affirmation n’a pas été vérifiée de manière indépendante et n’exclut pas la possibilité d’un vol d’identité ou d’une autre utilisation abusive.
Cet incident montre comment des organisations peuvent exposer des informations sensibles par l’intermédiaire de partenaires externes de confiance, même lorsque les attaquants ne compromettent pas directement les systèmes du propriétaire de la base de données.
Un exemple connexe est celui de l’incident de sécurité impliquant une application tierce de BigCommerce, qui met en évidence les risques plus larges auxquels les organisations sont confrontées lorsque des intégrations externes ont accès aux informations des clients.
Ce que la fuite au Danemark signifie pour les équipes de sécurité
Le mot de passe signalé est le détail le plus frappant, mais le problème plus important tient au fait qu’un compte disposant d’un accès légitime aurait pu effectuer des millions de recherches dans une base de données sans déclencher de réaction rapide.
L’utilisation présumée de code généré par IA ajoute une dimension supplémentaire. Les attaquants pourraient automatiser la collecte de données à grande échelle sans développer des outils sophistiqués à partir de zéro, ce qui rend particulièrement importants des contrôles d’accès efficaces et la surveillance des comportements.
Pour les équipes de sécurité responsables d’informations clients sensibles, l’incident met en évidence quatre priorités : renforcer l’authentification, limiter les accès des tiers, surveiller les activités inhabituelles et améliorer la vérification de l’identité.
Renforcer l’authentification et la sécurité des comptes à privilèges
Les organisations devraient interdire l’utilisation de mots de passe courants et compromis, exiger des identifiants uniques et mettre en œuvre une authentification multifacteur résistante à l’hameçonnage partout où elle est prise en charge.
Les équipes de sécurité devraient également examiner régulièrement les comptes à privilèges, révoquer les accès lorsque les employés quittent l’organisation et renouveler les identifiants lorsque cela est nécessaire. Ces pratiques s’inscrivent dans le prolongement des contrôles de gouvernance des identités et d’authentification abordés dans le guide des solutions de gestion des identités et des accès d’eSecurityPlanet.
Toutefois, même une authentification forte ne peut empêcher toutes les attaques impliquant des sessions compromises ou des identifiants volés. Les organisations doivent également surveiller ce que font les comptes authentifiés une fois qu’ils ont obtenu l’accès.
Limiter l’accès des tiers aux bases de données sensibles
Les fournisseurs externes ne devraient recevoir que les autorisations nécessaires à l’exécution de leurs fonctions.
Par exemple, une entreprise autorisée à vérifier les dossiers de clients individuels n’a pas forcément besoin d’un accès illimité à des millions d’entrées de base de données.
Les équipes de sécurité devraient :
- Appliquer le principe du moindre privilège et examiner régulièrement les comptes administratifs et ceux des tiers.
- Mettre en place des limites de fréquence et des alertes pour les recherches inhabituelles dans les bases de données, les récupérations en masse et les requêtes automatisées.
- Révoquer les identifiants inutiles et surveiller l’activité des fournisseurs afin de détecter les écarts par rapport aux habitudes normales.
Ces mesures de protection peuvent limiter les dommages causés par des comptes compromis, même lorsqu’un attaquant parvient à s’authentifier.
Les risques associés aux accès externes sont également abordés dans l’ analyse par eSecurityPlanet du Data Breach Investigations Report 2026 de Verizon, qui examine l’implication de tiers et d’autres facteurs contribuant aux cyberincidents modernes.
Détecter les activités suspectes après une authentification réussie
Les quelque 14 millions de recherches signalées soulignent l’importance de surveiller les activités authentifiées.
Les équipes de sécurité devraient enquêter sur les pics inattendus de requêtes dans les bases de données, les heures d’accès inhabituelles et les demandes répétées portant sur un grand nombre de dossiers personnels. L’analyse comportementale, la surveillance de l’activité des bases de données et les alertes automatisées peuvent aider à identifier les schémas suspects avant qu’une extraction importante de données ne se produise.
Des frais de facturation inattendus et une consommation exceptionnellement élevée de l’API peuvent également constituer des signaux d’alerte utiles, mais ils devraient compléter une surveillance de sécurité dédiée plutôt que servir de principal mécanisme de détection.
Renforcer la vérification de l’identité pour prévenir la fraude
La fuite démontre également les risques liés à l’utilisation d’informations personnelles comme preuve d’identité. Les noms, adresses, dates de naissance et numéros d’identification nationaux peuvent aider à identifier les clients, mais ne devraient pas, à eux seuls, établir l’autorisation d’accéder à un compte ou de le modifier.
Le Service danois de l’immigration et l’Agence pour le recrutement international et l’intégration ont mis en place des contrôles supplémentaires de vérification d’identité pour les demandes téléphoniques après la fuite, illustrant la nécessité pour les organisations de renforcer leurs procédures d’authentification lorsque des identifiants personnels sont exposés :
- Les organisations qui traitent des informations sensibles devraient utiliser des méthodes de vérification plus robustes, notamment le système MitID du Danemark lorsque cela est approprié, des codes à usage unique envoyés via des canaux préalablement vérifiés ou des rappels vers des numéros de téléphone établis.
- Les établissements financiers, les prestataires de soins de santé et les organismes publics devraient revoir leurs procédures de réinitialisation des mots de passe, de récupération des comptes et de modification des informations clients sensibles.
- Pour les personnes dont les informations pourraient avoir été exposées, les numéros d’identification personnelle combinés à d’autres informations peuvent rendre les tentatives d’hameçonnage et d’usurpation d’identité plus convaincantes.
- Les personnes concernées devraient suivre les recommandations officielles du gouvernement danois, rester prudentes face aux communications non sollicitées et éviter de fournir des mots de passe ou des informations confidentielles à des interlocuteurs téléphoniques ou des expéditeurs d’e-mails non vérifiés.
- Pour les responsables de la sécurité, la leçon essentielle est qu’une authentification réussie ne devrait jamais établir automatiquement une relation de confiance.
L’incident au Danemark montre pourquoi les organisations ont besoin de protections en profondeur qui vont au-delà des politiques de mots de passe. Une authentification forte, des autorisations tierces limitées, une surveillance continue et une vérification fiable de l’identité doivent fonctionner ensemble pour limiter ce que des attaquants peuvent accomplir avec des identifiants compromis.
Un seul identifiant volé ne devrait pas fournir un accès sans contrôle à des millions de dossiers sensibles.
À lire aussi : Pour un autre exemple de risques liés à la sécurité des tiers, consultez le rapport d’eSecurityPlanet sur la fuite de données de ManoMano concernant près de 38 millions de clients, qui montre comment des fournisseurs compromis peuvent exposer des informations sensibles sur leurs clients.