Mot de passe "123456" : l'erreur qui a exposé les données personnelles de 8,8 millions de personnes

Au pays des services publics tout numérique, personne ne s’attendait à voir un mot de passe « 123456 » au cœur d’une des plus grosses fuites de données d’Europe. Au Danemark, un pirate a exploité des identifiants d’entreprise pour se connecter au registre CPR, le fichier central de la population, et aspirer les informations de 8,8 millions de personnes, vivantes ou décédées.

Le ministère danois de la Recherche, de l’Éducation et du Numérique a annoncé le 5 octobre 2026 un incident touchant le registre CPR, précisant que des personnes non autorisées avaient consulté des noms, adresses et numéros d’identification. Rien ne laissait penser, au départ, à une attaque sophistiquée : c’est une facture de consultations anormalement élevée qui a fini par alerter l’administration. Tout est parti de là.

Fuite du registre CPR : un prestataire danois et le mot de passe « 123456 »

Le CPR, pour Central Person Register, est le registre central de l’état civil danois. Il contient environ 11 millions d’entrées, car il recense aussi bien les personnes vivant au Danemark que les citoyens décédés ou partis à l’étranger. Ce numéro CPR sert au quotidien pour s’identifier auprès des administrations, des banques ou encore des services de santé, ce qui explique pourquoi l’incident est jugé si sensible. « Il s’agit d’un incident profondément grave », a réagi la ministre Christina Egelund, citée par IT-Connect.

Pour accéder au registre, le pirate ne s’est pas introduit directement dans les systèmes de l’État. Il a utilisé l’accès légitime de Pays ApS, une petite société d’Odense qui vend des services de mise à jour d’adresses et de vérification de décès, et qui ne comptait que deux salariés en juillet 2026. Selon les explications rapportées par les médias danois, le mot de passe d’un ancien employé, déjà divulgué dans une fuite antérieure, était tout simplement « 123456 » et avait été réutilisé sur plusieurs comptes de l’entreprise, dont un compte administrateur. Le podcast de RFI dédié aux cyber-réflexes rappelle que le mot de passe « 123456 » reste parmi les plus utilisés selon le gestionnaire NordPass, alors que 90 % des cyberattaques commencent par une erreur humaine.

Chronologie, ampleur de la fuite et risques pour 8,8 millions de personnes

D’après les informations recueillies par la presse danoise, le pirate affirme avoir utilisé ce mot de passe pour automatiser ses consultations du registre CPR. Entre le 11 et le 20 septembre 2026, plus de 14 millions de requêtes auraient été envoyées pour récupérer les numéros CPR de la quasi-totalité des citoyens, alors que l’accès est resté techniquement ouvert pendant 21 jours et 17 heures. Le volume inhabituel n’a déclenché aucune alerte : chaque consultation étant facturée, c’est le montant très élevé de la facture adressée à Pays ApS qui a alerté le bureau CPR le 2 octobre au soir. Selon le pirate, son programme avait été généré par une intelligence artificielle, avec une erreur dans le code qui l’a conduit à chercher des personnes nées en 1877 au lieu de 1977.

Au total, la récolte revendiquée recouvre presque toute la population danoise, vivante ou décédée, ce qui alimente les inquiétudes autour de futures campagnes de phishing plus convaincantes, fondées sur des noms, adresses et numéros CPR exacts. « J’ai du mal à voir comment on pourrait avoir une sécurité pire », estime Jens Myrup Pedersen, professeur à l’université d’Aarhus. L’accès de Pays ApS a été suspendu, l’autorité de protection des données saisie et une enquète policière ouverte, tandis que le bureau CPR a demandé aux 1 039 entreprises connectées de désigner un responsable de la sécurité et de suivre de près le nombre de transactions. Grâce à l’identité numérique MitID, un numéro CPR seul ne suffit pas à usurper une identité, mais les autorités rappellent de ne jamais communiquer de mot de passe par téléphone ou par courriel, même si l’interlocuteur semble connaître votre nom, votre adresse et votre numéro CPR ; en France aussi, où 23,5 millions de comptes ont été compromis au premier trimestre 2026 selon Surfshark, un éditeur d’antivirus et de VPN qui place le pays juste derrière les États-Unis et leurs 60,3 millions de fuites sur la même période, cet épisode danois montre combien quelques chiffres mal protégés suffisent à fragiliser tout un système.