Неоторизирани страни са получили достъп до имената, адресите и личните идентификационни номера на около 8,8 милиона души, живи и починали, в националния регистър на населението на Дания, съобщи министерството на дигитализацията на страната на 5 октомври.

Те са използвали законното право на частна датска компания да прави справки в Централния персонален регистър (CPR). Министерството предупреди хората никога да не предоставят пароли или друга конфиденциална информация на никого, който се обажда или изпраща имейли, дори ако лицето изглежда знае тези подробности.

Администрацията на регистъра е прекратила достъпа на компанията и е докладвала случая на Datatilsynet, органа за защита на данните в Дания. Полицията разследва случая.

Много голям брой автоматизирани справки са били направени в регистъра, за да се идентифицират валидни лични идентификационни номера, известни като CPR номера, посочва Datatilsynet в съобщение от 5 октомври. Данните на органа произтичат от уведомлението, получено от регистъра ден по-рано. Органът все още не е оценил случая и описва номерата като твърдетелно извлечени.

Достъпът е продължил около 10 дни през септември и е осъществен през малка датска компания, според Кристина Егелунд, министър, отговарящ за дигитализацията, която говори пред информационна агенция Ritzau. Служител от администрацията на регистъра е забелязал необичайната активност в петък, 2 октомври. През уикенда администрацията е установила колко записа на хора са засегнати.

Официалните изявления оставят три въпроса открити: как неоторизираните страни са получили достъп до системите на компанията, дали са запазили или използвали данните и кои са те.

Кои лица са засегнати

Цифрата от 8,8 милиона е на министерството и все още не е окончателна. Тя включва регистрирани лица: живи жители, хора, пределили се в чужбина, починали и други. Регистърът съдържа общо около 11 милиона души, което означава, че достъпът е засегнал около 4 от всеки 5 от тях.

От 1968 г. насам регистърът вписва всеки, който живее или е живял в Дания. Населението на Дания е било малко под 6 милиона в началото на 2025 г., според Statistics Denmark.

Достъпът е останал в рамките на данните, които частните компании имат право да получават, и не включва имената и адресите на хората, регистрирани със защита на името и адреса, съобщи министерството. Този статус в повечето случаи предотвратява разкриването от регистъра на името и адреса на дадено лице на частни компании или индивиди.

Изявлението на министерството не посочва дали CPR номерата на тези хора са били достъпени, нито дали някой ще бъде уведомен индивидуално, че е сред тези 8,8 милиона.

Какво могат да направят хората с CPR номер

Министерството насочва хората към сайта за съвети sikkerdigital.dk, който изброява четири стъпки за защита срещу измами:

  • Бъдете изключително бдителни за неочаквани текстови съобщения, обаждания и имейли, в които подателят използва подробности за вас.
  • Не натискайте връзки в неочаквани съобщения. Отидете сами на официалния уебсайт или се обадете на главния номер на подателя, за да проверите.
  • Никога не споделяйте данни за MitID, еднократни кодове, пароли или данни за карти.
  • Задействайте предупреждение за кредит на borger.dk.

Кибергорещата линия за цифрова сигурност, правителствена линия за помощ на +45 33 37 00 37, може да съдейства с тези стъпки. Тя е с удължено работно време, от 8:00 до полунощ, в дни след съобщението.

Предупреждението за кредит е маркер в CPR, указващ, че титулярът желае компаниите да бъдат предупреждавани срещу предоставяне на заеми или кредити на негово име. То работи като сигнал. Компаниите, които изберат да го получават, се приканват да полагат допълнителни грижи при проверка на самоличността преди отпускане на заем, според borger.dk, където се задава маркерът.

Нов маркер се регистрира веднага, но може да отнеме няколко дни, за да достигне до системите на компаниите. Всеки на възраст 15 или повече години може да зададе такъв, което може да затрудни одобряването на заявления за заем на титуляра, докато не бъде премахнат.

CPR номерът помага за идентифициране на лицето, но не трябва да се използва като единствено доказателство за самоличност, според официалните указания на регистъра.

Как компаниите получават достъп до регистъра

Съгласно текста на Закона за CPR на Дания от 2023 г. компаниите могат да получават данни от регистъра за хора, които вече са идентифицирали едно по едно. Само CPR номерът е достатъчен за идентифициране на лице за тази цел.

Данните, които могат да получават, включват настоящото име и адрес на лицето, освен ако не са защитени, и подробности като смърт, преместване в чужбина или предупреждение за кредит. Сам по себе си CPR номерът не е в този списък.

CPR номерът съдържа 10 цифри: 6 за датата на раждане и 4 серийни цифри, последната от които е четна за жени и нечетна за мъже.

Според изчисленията на The Hacker News този формат позволява най-много 10 000 възможни номера за всяка дата на раждане. Уведомлението на Datatilsynet гласи, че справките са направени с цел идентифициране на валидни номера, но нито то, нито изявлението на министерството посочва дали са обходени всички тези възможности.

Указанията на регистъра гласят, че компаниите могат да получават данни само за хора, с които вече работят, като клиенти или служители. Официалните изявления не обясняват как достъпът на една компания съгласно тези правила е обхванал около 4 от 5 души в регистъра.

Съгласно закона министерството, отговарящо за регистъра, определя условията за фирмен достъп, включително мерките за сигурност.

Егелунд заяви пред Ritzau, че защитните мерки около този вид достъп не са били достатъчно надеждни, и се съгласи, че е трябвало да се задейства аларма предвид продължителността на инцидента.

Какво предстои

Министерството е започнало мерки за предотвратяване на повторен случай, които не са детайлизирани в изявлението, а министърът е поискал пълен преглед на сигурността на регистъра.

Datatilsynet проучва какво се е случило, как е било възможно да се случи и кой носи отговорност за обработката на личните данни.

Егелунд съобщи пред Ritzau, че е твърде рано да се каже дали хората ще се нуждаят от нови CPR номера. Законът вече позволява нов номер в специални случаи, когато номерът на дадено лице е бил злоупотребен.