Piratage au Danemark : cette erreur de mot de passe affligeante qui a exposé les données de 8,8 millions de personnes
Au Danemark, l’usage d’un simple mot de passe « 123456 » chez le prestataire Pays ApS a ouvert un accès massif au registre CPR. Entre septembre et octobre 2026, des millions de recherches secrètes ont visé 8,8 millions de dossiers, et les autorités redoutent désormais une vague d’arnaques ciblées.
Un simple mot de passe a plongé l’administration danoise dans l’une des pires crises de données. Le registre central de la population, le CPR, a fait l’objet d’accès non autorisés, permettant à des pirates de consulter les informations personnelles de près de 8,8 millions de personnes, une situation que la ministre du Numérique Christina Egelund décrit comme un « incident extrêmement grave ».
Derrière cette fuite de données du registre CPR au Danemark, l’enchaînement tient de la mauvaise blague : selon le récit du pirate présumé, tout serait parti d’identifiants d’ancien employé récupérés et d’un mot de passe dérisoire, 123456, utilisé sur des comptes donnant accès au système. Ce piratage n’était « pas particulièrement difficile » à mener, a expliqué le hacker dans des échanges chiffrés avec un quotidien danois, et c’est précisément ce caractère banal qui interroge sur la solidité des défenses numériques du pays.
Fuite de données CPR au Danemark : un registre central massivement exposé
Le registre CPR, acronyme de Det Centrale Personregister, est le fichier de référence de la population au Danemark et se trouve au coeur de nombreux services publics. L’administration du registre central danois a reconnu un « incident de sécurité grave », les fichiers consultés contenant des noms, des adresses et des numéros CPR, ces identifiants uniques attribués à chaque résident. Les autorités précisent que les enregistrements compromis incluent aussi des personnes décédées ou ayant quitté le pays, ce qui explique que le nombre de dossiers potentiellement exposés dépasse largement la population actuelle du royaume.
L’ampleur de la fuite frappe d’autant plus qu’elle vise un registre centralisé utilisé depuis des décennies pour les démarches administratives les plus courantes. Il n’y a « aucun précédent d’une fuite de données aussi importante venant d’une autorité publique », observe le chercheur Jørn Guldberg, tandis que le professeur Jens Myrup Pedersen juge la situation « désespérante » et voit « mal comment on pourrait avoir une sécurité plus mauvaise », avant de conclure qu' »Il n’y a aucune sécurité, c’est une porte ouverte ». Ces réactions, tout comme celles de Christina Egelund, ont été rapportées par le site 01net, alors que l’administration du CPR a elle-même parlé d’une grave faille de sécurité, mise en lumière par Cryptoast.
Mot de passe faible et prestataire Pays ApS : comment le registre CPR a été piraté
Au coeur du scénario se trouve Pays ApS, une société basée à Odense qui propose un service de nettoyage CPR pour ses clients. Selon le pirate présumé et les éléments d’enquête publiés dans la presse danoise, il aurait d’abord mis la main sur les identifiants d’un ancien employé, déjà exposés dans une précédente fuite, puis découvert qu’au moins trois comptes, dont un compte administrateur, utilisaient le mot de passe 123456. La directrice générale de l’entreprise, Sophie Laursen, a reconnu que « l’accès légal pour consulter des informations dans le système CPR a été détourné ».
| Date | Événement | Signal manqué ou révélé | Source |
|---|---|---|---|
| 10 septembre | Début de l’accès non autorisé au CPR | Intrusion via compte de prestataire | Administration du CPR |
| 10–20 septembre | Environ 14 millions de recherches automatisées | Volume inhabituel non détecté | Administration du CPR |
| 20 septembre | Dernières recherches illicites enregistrées | La fuite se poursuit en silence | Administration du CPR |
| 2 octobre | Facture très élevée repérée | Découverte de l’abus et blocage de l’accès | Administration du CPR |
Les premières recherches non autorisées dans le registre remontent au 10 septembre et 14 millions de requêtes automatisées ont été effectuées en dix jours, jusqu’au 20 septembre, depuis les conection de Pays ApS. La facture anormalement élevée reçue le 2 octobre a servi de déclencheur, un employé y voyant enfin la trace de cet usage abusif et obtenant la suspension de l’accès. Pour les autorités et les experts en cybersécurité, la combinaison d’un mot de passe faible et d’une absence de garde-fous techniques rend ce piratage préoccupant. Malwarebytes estime qu’une protection aussi fragile aurait dû être automatiquement refusée et rappelle l’intérêt de l’authentification multifacteur pour ce type de compte sensible, et la surveillance des volumes de requêtes sortant de partenaires externes. Le pirate affirme ne pas vouloir vendre ni publier les données récupérées, mais ces informations suffisent déjà à nourrir des campagnes de hameçonnage convaincantes, en s’appuyant sur des noms, adresses et numéros CPR pour soutirer de l’argent ou d’autres données sensibles.
En bref
- Entre le 10 et le 20 septembre 2026, un accès non autorisé via le prestataire danois Pays ApS a visé le registre central de la population (CPR), pilier de l’administration numérique du royaume.
- En exploitant les identifiants d’un ancien employé protégés par le mot de passe 123456, le pirate a pu lancer environ 14 millions de recherches et exposer potentiellement 8,8 millions de dossiers contenant noms, adresses et numéros CPR.
- Les autorités, de Christina Egelund aux experts comme Jens Myrup Pedersen, alertent désormais sur le risque accru d’arnaques ciblées et sur les failles systémiques de sécurité que cet épisode met cruellement en lumière.
