- 发布日期
丹麦CPR数据大规模泄露事件中的多个涉事账户使用了密码“123456”
- 作者
- 姓名
- 荷鲁斯快报
- 社交账号
丹麦中央人口登记系统（CPR）大规模个人信息泄露事件曝出严重账户安全问题。丹麦《政治报》调查发现，与事件有关的富恩岛信息技术公司Pays至少三个用户账户使用“123456”密码，其中一个为管理员账户。黑客利用涉事公司合法数据查询权限进入CPR系统，约880万名登记人员信息受影响。Pays ApS位于丹麦欧登塞市。
CPR是丹麦中央人口登记系统，记录在丹麦登记人员身份信息，用于身份识别以及医疗、行政等公共服务。丹麦允许符合条件的私人企业和协会在合法需求下查询部分信息，如客户或会员地址。这满足商业需要，也意味着外部机构账户安全关系到中央数据库安全。
Pays公司董事总经理兼所有者索菲·劳森向丹麦电视二台确认，公司是此次事件中合法数据查询权限遭滥用的企业。她称公司遭遇攻击，攻击者利用企业原本合法拥有的CPR查询权限。奥胡斯大学电子与计算机工程系教授延斯·米鲁普·彼得森批评，这样的密码安全措施几乎形同虚设。
彼得森指出，“123456”是最常见、最易猜中的密码之一，攻击者破解账户时往往最先尝试这类组合。他认为很难想象企业能采取更糟糕的密码安全措施，此类事件发生几乎只是时间问题。匿名黑客向《政治报》声称负责，称最初利用此前泄露的一名前员工密码进入系统。
黑客称获得访问权限后编写两个程序，一个从CPR查询收集个人信息，另一个将数据保存到系统之外。他称过程并不复杂，没有计划出售或公开个人身份识别号码，并对防护薄弱感到震惊。但这些说法主要来自黑客本人，仍需警方和有关部门调查确认。
官方披露，CPR管理部门于2026年10月2日晚注意到系统9月出现异常行为，随后确认大规模未经授权访问。10月5日，丹麦研究、教育与数字化事务部公布事件，并宣布全面安全审查。CPR管理部门已终止涉事企业访问权限，向数据保护监管机构报告，警方展开调查。
此次事件涉及约880万名登记人员姓名、地址、CPR个人身份识别号码等信息。但880万不意味着当前居住在丹麦的居民全部受影响，系统还包括移居国外、已故及其他曾在丹麦登记人士。风险不会因访问权限关闭立即消失，可能被用于诈骗、身份冒用或网络钓鱼。丹麦有关部门提醒公众防范利用真实个人信息的电话和邮件诈骗。
事件仍在调查，攻击者身份、数据是否复制传播待查明。丹麦政府需评估第三方访问CPR管理机制，是否强化密码要求、管理员账户保护、访问权限审查和异常查询监控。事件表明，保护大型公共数据库不仅靠技术防护，合法第三方权限和薄弱账户安全同样可能成为入口。一组“123456”密码，可能成为大规模泄露关键薄弱环节。
