Fuite CPR au Danemark : 8,8 millions exposés via le mot de passe 123456

22 jours d'accès non autorisé au cœur du registre d'identité danois

Entre le 10 septembre et le 1er octobre 2026, un attaquant inconnu a accédé de manière non autorisée au registre central de la population danoise (Det Centrale Personregister, dit CPR), qui centralise l'ensemble des données d'état civil du Danemark. Selon les autorités danoises et plusieurs sources journalistiques dont The Hacker News et SecurityWeek, l'accès s'est maintenu pendant 21 jours et 17 heures consécutifs avant d'être détecté — une durée particulièrement longue pour une intrusion touchant un registre national d'une telle sensibilité.

La brèche n'a pas résulté d'une attaque directe contre l'infrastructure centrale du CPR. L'attaquant a exploité un vecteur indirect : les identifiants d'un prestataire informatique tiers autorisé, la société Pays ApS, basée à Odense dans la région de Fionie. Au moment des faits, Pays ApS n'employait que deux personnes et disposait pourtant d'un accès officiel au registre dans le cadre de ses activités. La société a publiquement confirmé être l'entité dont les identifiants avaient été compromis.

L'élément le plus marquant de cet incident est la nature du mot de passe en cause. Selon les enquêteurs, au moins trois comptes utilisateurs chez Pays ApS employaient le mot de passe 123456, dont le compte administrateur de la société. Ce choix, systématiquement classé comme le plus faible et le plus répandu au monde par les analyses annuelles de spécialistes en sécurité, a permis à l'attaquant d'obtenir des droits d'administration sans aucune technique sophistiquée particulière.

L'ampleur de la fuite est considérable à l'échelle d'un pays de 5,9 millions d'habitants. Les données compromises couvrent environ 5,5 millions de personnes vivantes et 3,3 millions de personnes décédées, soit un total de 8,8 millions de numéros CPR accompagnés des noms et adresses correspondants. Le numéro CPR (personnummer) est un identifiant unique à 10 chiffres utilisé dans pratiquement toutes les interactions administratives, bancaires et médicales au Danemark, ce qui en fait une cible particulièrement sensible pour l'usurpation d'identité et la fraude financière.

L'attaquant n'a pas eu besoin de casser des protections techniques avancées. Il a simplement utilisé l'accès légitime accordé à Pays ApS pour interroger méthodiquement la base de données du CPR, exfiltrant les enregistrements sur plus de trois semaines. Ce type d'attaque est connu sous le terme d'abus d'accès délégué ou trusted third-party abuse : plutôt que d'attaquer la cible principale directement, l'adversaire compromet un prestataire qui bénéficie de droits légitimes d'accès à la ressource convoitée.

L'Agence nationale danoise pour la numérisation (Digitaliseringsstyrelsen) et la police danoise ont ouvert des enquêtes conjointes. Le régulateur de la protection des données, Datatilsynet, a confirmé avoir été notifié, conformément aux obligations du RGPD qui impose une notification initiale dans les 72 heures suivant la découverte d'une violation. L'organisation gestionnaire du CPR, CPR-kontoret, a déclaré avoir renforcé en urgence les contrôles d'accès pour tous les prestataires tiers dans l'attente des conclusions de l'enquête.

À date de publication, l'identité de l'attaquant reste inconnue. Aucun groupe cybercriminel n'a revendiqué la fuite, et il n'est pas encore établi si les données ont été vendues sur des forums spécialisés. Des analyses forensiques sont en cours pour déterminer si les informations ont été exfiltrées vers des serveurs étrangers ou si l'intrusion visait principalement la collecte silencieuse de données. Le fait que l'accès ait duré 22 jours sans déclencher d'alerte soulève des questions sérieuses sur les capacités de détection comportementale appliquées aux prestataires tiers bénéficiant d'accès délégués.

Pour les 5,5 millions de Danois vivants concernés, les conséquences potentielles sont multiples : hameçonnage ciblé utilisant leurs données personnelles, tentatives d'usurpation d'identité auprès d'administrations ou de banques, et utilisation des numéros CPR dans des schémas de fraude à plus long terme. Les autorités danoises ont diffusé des recommandations de vigilance via les médias nationaux, invitant les citoyens à surveiller leurs relevés bancaires et à signaler tout contact inattendu s'appuyant sur leurs données personnelles.

Un incident révélateur des failles dans la gestion des accès tiers

Cette fuite illustre une vérité que la communauté cybersécurité souligne depuis des années : les maillons les plus faibles dans la chaîne de protection des systèmes critiques sont souvent des prestataires tiers de taille réduite. Les grandes administrations investissent des sommes considérables dans leurs propres défenses, mais accordent des accès étendus à des partenaires dont la maturité sécurité est rarement auditée de façon rigoureuse. Pays ApS — deux employés, accès administrateur au registre national, mot de passe 123456 — résume à lui seul ce paradoxe structurel.

La dimension RGPD de cet incident est particulièrement lourde de conséquences. Une violation touchant 8,8 millions de personnes représente l'une des plus importantes fuites de données personnelles jamais enregistrées en Europe. Le Datatilsynet danois se trouve sous pression pour sanctionner les responsables : le prestataire Pays ApS pour ses défaillances élémentaires de sécurité, et potentiellement les autorités publiques pour n'avoir pas imposé de contrôles minimaux — notamment l'obligation de MFA et d'audits de sécurité réguliers — aux sociétés bénéficiant d'un accès délégué à un registre national de population.

Cet incident devrait accélérer les débats en cours sur la gestion des accès tiers (Third-Party Access Management) dans les administrations européennes. La directive NIS2, en vigueur depuis 2024, impose aux entités essentielles et importantes de mettre en place des mesures explicites de gestion des risques liés à la chaîne d'approvisionnement, couvrant expressément les prestataires ayant accès à leurs systèmes d'information sensibles. Un accès administrateur non protégé par MFA à un registre national constitue une violation caractérisée de ce cadre réglementaire.

Sur le plan technique, la tactique employée — l'abus d'accès délégué sans compromission des systèmes centraux — est représentative d'une tendance croissante dans les attaques avancées. Des groupes APT et des acteurs ransomware adoptent de plus en plus cette approche dite living off trusted access, exploitant des droits légitimes plutôt que des exploits techniques zero-day, ce qui les rend beaucoup plus difficiles à détecter par les outils de surveillance périmétrique classiques orientés sur les anomalies réseau.

Ce qu'il faut retenir

• Un prestataire tiers de deux employés avec un mot de passe trivial a suffi à exposer 8,8 millions d'identités danoises pendant 22 jours sans déclenchement d'alerte.
• La directive NIS2 impose l'audit de sécurité des prestataires ayant accès aux systèmes sensibles — cette affaire démontre que cette obligation n'est pas encore appliquée uniformément.
• Toute organisation accordant des accès délégués à des tiers doit imposer le MFA, surveiller les comportements anormaux et effectuer des revues d'accès périodiques.