Identité numérique : la fuite de 8 millions de données au Danemark révèle le risque majeur qui pèse sur votre futur portefeuille

Champion du numérique en Europe, le Danemark vient de découvrir l’envers du décor informatique. Son registre central de population, le CPR, a vu les données de 8,8 millions de personnes aspirées via un simple compte d’entreprise, alors que le pays lançait tout juste son nouveau portefeuille d’identité AltID.

Dans un moment où l’Union européenne pousse à l’identité numérique, prépare DAC8 pour les cryptomonnaies et discute de l’euro numérique, cette fuite du registre CPR danois met en lumière un maillon précis du système : la base centrale qui sert de « source de vérité ». Reste à voir à quel point ce maillon est partagé dans les autres pays européens.

Fuite du registre CPR danois : un accès d’entreprise qui vide le fichier

Selon le ministère danois du Numérique, des inconnus ont en septembre détourné l’accès légitime d’une entreprise privée au registre CPR, qui recense toute personne ayant vécu au Danemark. Ils ont récupéré noms, adresses et numéros d’identification nationaux de 8,8 millions de personnes, qu’elles soient vivantes, décédées ou parties à l’étranger, soit l’essentiel d’un fichier qui compte environ 11 millions d’entrées. Seules les personnes inscrites en protection d’identité auraient échappé à cette collecte massive.

Un simple compte d’entreprise a suffi pour consulter près de 80 % du registre en une dizaine de jours, avant que l’activité suspecte ne soit repérée puis coupée début octobre 2026. Ce type de données suffit à alimenter des campagnes de phishing ciblé, à faciliter l’usurpation d’identité ou à enrichir des bases illégales revendues sur les marchés noirs numériques.

Identité numérique, DAC8 et euro numérique : un même problème de registres centraux

Au même moment, le Danemark lançait AltID, son portefeuille d’identité conforme au futur portefeuille d’identité numérique européen. Son principe est inverse de celui du CPR : les données restent stockées sur le téléphone, l’usager choisit les attributs qu’il partage et peut prouver qu’il a plus de 18 ans sans révéler son nom, son adresse ni son numéro national grâce à une preuve cryptographique. L’usage reste facultatif. Sauf que pour créer AltID il faut d’abord se connecter avec MitID, l’identifiant national rattaché au numéro CPR : les justificatifs présents dans le portefeuille dépendent donc d’une base centrale, celle qui vient d’être ciblée.

Cette logique se retrouve dans d’autres chantiers européens. Avec DAC8, les plateformes de cryptomonnaies doivent, à partir du 1^er janvier 2026, collecter l’identité de leurs clients et le détail de leurs opérations pour les transmettre à l’administratrion fiscale, avant que les États membres n’échangent ces informations au plus tard le 30 septembre 2027. En France, une ancienne employée d’un centre des impôts à Bobigny est ainsi mise en examen pour avoir consulté dans le logiciel fiscal Mira des adresses d’investisseurs en cryptomonnaies pour le compte de tiers. L’euro numérique, s’il voit le jour, posera à son tour la question de la gouvernance de ces fichiers. Dans ce contexte, certains citoyens refusent déjà ce virage : « Nous, citoyennes et citoyens des pays européens, exprimons notre refus catégorique de l’instauration de l’euro numérique, de l’identité numérique et du portefeuille numérique », résument les auteurs d’une pétition en ligne, inquiets d’un monde où la moindre transaction s’appuierait sur des registres centraux devenus de véritables surfaces d’attaque.