Para: pessoas que moram ou já moraram na Dinamarca e suas famílias, e organizações que permitem que empresas externas consultem dados de residentes ou clientes por meio de uma API ou tela de consulta. Este artigo se baseia no comunicado oficial do governo dinamarquês e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme o governo publicar mais informações
Até 12 de outubro de 2026Ainda não se sabe
- Como o acesso de consulta foi usado indevidamente (versão oficial)
- Quem está por trás
- Uma forma de verificar individualmente se você foi afetado
- Se os números CPR precisam ser trocados
- Resultados da revisão de segurança do CPR
No comunicado de 5 de outubro, o governo dinamarquês afirmou que os números e detalhes podem mudar conforme a investigação avança. A senha e o período de acesso relatados a partir de 9 de outubro não foram confirmados nos comunicados do governo; por isso, este artigo os apresenta separadamente como relatos da mídia.
O que residentes (e ex-residentes) devem fazer hoje
Prepare-se como se tivesse sido afetado
Segundo o ministério, cerca de 8,8 milhões das aproximadamente 11 milhões de pessoas cadastradas são afetadas, incluindo pessoas emigradas e falecidas. Até 6 de outubro, nenhuma forma de verificação individual havia sido anunciada.
Se você estudou ou trabalhou na Dinamarca no passado, pode ter sido afetado se recebeu um número CPR. Também fique atento a mensagens que usem o nome de um familiar falecido.
Nunca compartilhe dados do MitID nem códigos de uso único
O site oficial de segurança sikkerdigital.dk pede que as pessoas nunca compartilhem dados do MitID, códigos de uso único, senhas ou dados de cartão.
O ministério também lembra que não se deve fornecer senhas ou itens semelhantes por telefone ou e-mail, mesmo que a outra pessoa pareça conhecer seu nome, endereço e número CPR. Esses três itens exatos foram obtidos, então quem os conhece não provou nada.
Não clique em links de mensagens ou e-mails; acesse o site oficial por conta própria
O sikkerdigital.dk orienta que, se você receber uma mensagem de texto ou e-mail inesperado com um link, não clique. Em vez disso, acesse o site oficial por conta própria ou ligue para o número principal do remetente para confirmar.
Se alguém ligar, desligue e retorne a ligação para um número que você tenha encontrado no site oficial. Quanto mais a mensagem pressionar você, mais motivo há para desconfiar (como identificar: o que é phishing).
Se suspeitar de uso indevido, defina um alerta de crédito
Segundo o sikkerdigital.dk, se você tiver uma suspeita concreta de que seu número CPR está sendo usado para fraude, pode definir um alerta de crédito (kreditadvarsel) no borger.dk. É uma marcação no CPR que dificulta a obtenção de empréstimos ou crédito em seu nome.
Segundo o borger.dk, é preciso ter pelo menos 15 anos. A marcação é registrada no CPR imediatamente, mas pode levar alguns dias para ter efeito nos sistemas das empresas. Ela também dificulta que você tome empréstimos, então pode removê-la antes de solicitar crédito. Se não conseguir fazer isso online, o atendimento ao cidadão do seu município pode ajudar (com agendamento).
Se precisar de ajuda, ligue para a Cyberhotline
A Cyberhotline nacional para segurança digital é o +45 33 37 00 37. Segundo o ministério e o sikkerdigital.dk, ela funciona das 8h à meia-noite nos próximos dias.
Se você usa a mesma senha em vários serviços, aproveite para separá-las (como verificar: como verificar se sua senha vazou; como gerenciá-las: como escolher um gerenciador de senhas).
O que aconteceu (segundo o comunicado do governo dinamarquês)
Em 5 de outubro de 2026, o Ministério da Pesquisa, Educação e Digitalização da Dinamarca publicou "Omfattende uautoriseret adgang til borgeres CPR-oplysninger" (acesso não autorizado extenso aos dados CPR dos cidadãos). O mesmo texto está publicado no site oficial do CPR. Tudo o que se segue se baseia no comunicado do ministério.
Durante setembro de 2026
Houve atividade irregular no sistema CPR (quadro informativo do comunicado).Sexta-feira, 2 de outubro, à noite
A administração do CPR tomou conhecimento dessa atividade.3–4 de outubro (fim de semana)
A administração descobriu que pessoas não autorizadas haviam obtido nomes, endereços e números CPR de cerca de 8,8 milhões de pessoas.5 de outubro
O ministério anunciou o incidente, e o sikkerdigital.dk publicou orientações para os residentes. A ministra diz que informou a comissão parlamentar.6 de outubro
O sikkerdigital.dk publicou orientações para empresas e autoridades contatadas por cidadãos, pedindo que revisem as verificações de identidade.Sexta-feira, 9 de outubro
A administração do CPR enviou às 1.039 empresas com acesso de consulta uma carta reforçando suas regras de segurança (reportado pela DR). No mesmo dia, a mídia relata que a senha "123456" foi usada na empresa cujo acesso foi usado indevidamente (não confirmado pelo governo).Sábado, 10 de outubro
A ministra enviou um memorando a duas comissões parlamentares (reportado pela DR).
- Quem
- Cerca de 8,8 milhões de pessoas cadastradas, incluindo pessoas vivas, emigradas e falecidas
- Itens
- Nomes, endereços, números CPR e outras informações, dentro dos dados que empresas privadas podem consultar
- Não incluído
- Nomes e endereços de pessoas com proteção de nome e endereço (navne- og adressebeskyttelse)
- Como
- Pessoas não autorizadas usaram indevidamente o acesso legítimo de uma empresa privada dinamarquesa para consultar dados do CPR
- Nome da empresa
- Não divulgado no comunicado
- Resposta
- O acesso da empresa foi suspenso; a Agência Dinamarquesa de Proteção de Dados foi notificada; a polícia investiga em conjunto com as autoridades competentes; medidas para evitar incidentes semelhantes foram iniciadas, e uma revisão de segurança completa do CPR está em andamento
- Pontos em aberto
- A investigação está em fase inicial e não se sabe quem está por trás. O próprio ministério alerta que o mapeamento adicional pode alterar os detalhes
- Ajuda
- sikkerdigital.dk, Cyberhotline +45 33 37 00 37 (das 8h à meia-noite por enquanto)
Relatado, mas não consta no comunicado do ministério
Os pontos abaixo foram relatados pela mídia, mas não aparecem no comunicado do ministério de 5 de outubro. Este artigo não os trata como estabelecidos e será atualizado se o governo publicar detalhes.
- A senha "123456": segundo apurações do jornal dinamarquês Politiken, distribuídas pela agência de notícias Ritzau (publicadas pela DR), pelo menos três contas da empresa cujo acesso foi usado indevidamente usavam essa senha, uma delas uma conta de administrador.
- Por quanto tempo o acesso esteve disponível: segundo a emissora pública DR, o acesso de consulta esteve disponível por 21 dias e 17 horas. Segundo o relatório da administração do CPR à Agência de Proteção de Dados, porém, ele não foi usado durante todo esse período.
- Como as consultas foram feitas: o The Hacker News, site de notícias de segurança, relata, citando a agência de notícias dinamarquesa e a Agência de Proteção de Dados, que elas consistiram em um volume muito grande de consultas automatizadas.
Carta às 1.039 empresas com acesso de consulta (relatada pela DR)
Segundo a DR, o memorando da ministra enviado a duas comissões parlamentares em 10 de outubro afirma que, em 9 de outubro, a administração do CPR enviou às 1.039 empresas com acesso de consulta uma carta reforçando suas regras de segurança. Os principais pontos:
- As empresas com acesso devem ter um responsável pela segurança
- Devem revisar continuamente o acesso dos funcionários aos dados do registro
- Devem acompanhar o número mensal de consultas ao CPR para verificar se o acesso não está sendo usado indevidamente
A DR também relata que a ministra reconheceu que a segurança em torno do sistema não era suficiente e pediu uma revisão de segurança. Este site não conseguiu consultar o memorando no site do parlamento dinamarquês, por isso ele é apresentado aqui como relato da DR.
Por que empresas privadas podem consultar o CPR
O comunicado do ministério inclui um quadro informativo sobre o acesso de empresas privadas. Segundo a seção 38 da Lei do CPR, empresas privadas com interesse legítimo podem receber dados do CPR sobre pessoas que já tenham identificado uma a uma, usando o número CPR, a data de nascimento e o nome, ou o nome e o endereço.
Além disso, a empresa deve ter direito a receber os dados segundo o Regulamento Geral de Proteção de Dados da UE (GDPR) e a Lei de Proteção de Dados dinamarquesa. A seção 38(2) da Lei do CPR define quais dados essas empresas, em geral, podem acessar.
Em outras palavras, o que foi usado não foi uma porta dos fundos, mas uma entrada legal concedida às empresas. Defesas que barram invasores não impedem consultas feitas com credenciais válidas.
Conta de uma empresa privada com acesso de consulta
usada por pessoas não autorizadas
↓→
Serviço de consulta do CPR
acesso válido, então o login é aceito
↓→
Resultados para cerca de 8,8 milhões de pessoas
itens que empresas privadas podem consultar
Onde perceber: não no login, mas na forma como o acesso é usado
volume por cliente, desvio do normal, proporção de números não encontrados, volume em relação ao porte do cliente
O que as organizações que concedem APIs de consulta devem verificar
Esta seção é voltada a organizações que permitem que empresas contratadas consultem dados de residentes, clientes ou crédito por meio de uma API ou tela de consulta. Como a causa não foi divulgada, ela trata de pontos que valem para qualquer serviço construído dessa forma.
Como definir limites em geral (quem contar, o que contar, o que fazer ao atingir o limite) é tratado em limitação de taxa e controle de abuso. Sinais de atividade humanamente impossível de tão rápida, como a de agentes de IA, são tratados em o caso DIVD. Aqui acrescentamos o que é específico ao acesso de um cliente legítimo.
Dê a cada cliente um limite compatível com sua base declarada de clientes
Pelas regras dinamarquesas, uma empresa pode consultar pessoas que já identificou uma a uma. Assim, o número de pessoas que um cliente consulta em um mês não deve exceder muito o seu número de clientes.
Como primeiro passo, defina limites diários e mensais de consulta por cliente, com base no número de clientes declarado na contratação. Avise o responsável da conta ao atingir 80% do limite e, ao atingi-lo, suspenda as consultas e peça ao cliente o motivo.
Monitore desvios do normal e a proporção de números não encontrados, diariamente
O volume absoluto, por si só, não revela anomalias em um cliente que já é grande. Use a média diária de volume de cada cliente nos últimos 30 dias como referência e emita alertas em dias que a superem várias vezes.
Outro sinal é a proporção de consultas sem correspondência. Um cliente que consulta os próprios clientes deveria encontrar quase todos. Um cliente cuja taxa de não encontrados sobe de repente pode estar consultando pessoas que não são seus clientes, então verifique com ele imediatamente.
Não deixe senhas adivinháveis em contas de administrador e contas compartilhadas
Neste caso, pelo menos três contas da empresa com acesso de consulta, incluindo uma conta de administrador, teriam usado a senha "123456" (não confirmado pelo governo). Uma única conta comprometida com direitos de consulta alcança dados de muitas pessoas.
Como primeiro passo, peça a cada cliente uma lista de suas contas de administrador e de contas compartilhadas por várias pessoas, e verifique se a autenticação multifator está ativa em cada uma. Do seu lado, revise mensalmente os logins bem-sucedidos e malsucedidos e a quantidade de consultas de cada conta, e sinalize contas com volume acima do normal. A verificação mensal de contagem de consultas que a administração do CPR pediu às 1.039 empresas segue a mesma ideia.
Não deixe a segurança das contas do cliente apenas com o cliente
Quando um acesso legítimo é usado por outra pessoa, verificar IDs e senhas não ajuda. Exija, como condição contratual, autenticação multifator, restrições de endereços IP de origem e rotação regular de chaves de API das contas de consulta (base: autenticação versus autorização, como escolher a autenticação em dois fatores).
Revise também, uma vez por ano, se algum cliente tem acesso excessivamente amplo para o seu porte, ou acesso que não usa mais.
Registre quem consultou quem e quando, e tenha como cortar o acesso imediatamente
Para cada consulta, registre o cliente, o usuário, o horário e a pessoa consultada. Um período mínimo razoável de retenção é de 12 meses (o período que o padrão da indústria de cartões PCI DSS exige para registros de auditoria). Sem esses registros, você não consegue responder de quem os dados saíram.
Neste caso, a administração do CPR suspendeu o acesso da empresa. Para cada cliente, defina o procedimento e a pessoa que pode cortar o acesso imediatamente, sem afetar os demais clientes.
Para empresas e autoridades contatadas por residentes: revise as verificações de identidade
Em 6 de outubro, o sikkerdigital.dk pediu a empresas e autoridades que são contatadas por cidadãos que reconsiderem se nome, endereço e número CPR ainda são suficientes caso tenham sido usados para verificar quem liga. Os métodos listados estão abaixo.
Não são mais prova de identidade após este incidente
- Número CPR
- Nome
- Endereço
- Data de nascimento
Verificações listadas pelo sikkerdigital.dk
- Pedir que a pessoa entre no autoatendimento, por exemplo com o MitID
- Enviar um código de uso único para um telefone ou e-mail já cadastrado
- Ligar de volta para um número já cadastrado
- Perguntar sobre itens específicos da relação, como número de cliente ou número da última fatura
O site afirma que, para pedidos como acesso a dados pessoais, alteração de dados de contato, novas assinaturas, compras a crédito, novos chips de celular, redefinição de senhas ou mudanças de dados de pagamento, deve-se usar verificação forte, e que número CPR, nome, endereço ou data de nascimento não devem bastar. Também sugere verificações manuais ou um período de espera para alterações com impacto financeiro ou de segurança.
Para leitores no Japão: como o My Number é diferente, e a lição que continua valendo
Segundo a Agência Digital do Japão, o My Number japonês é usado em procedimentos previstos em leis ou regulamentos, como previdência social, impostos e resposta a desastres, e fornecê-lo para outras finalidades é, em princípio, restrito. A agência também afirma que o número sozinho não pode ser usado para concluir procedimentos (FAQ do My Number da Agência Digital, em japonês).
Apesar dos sistemas diferentes, a lição se aplica diretamente: não use como senha de identidade números ou endereços que muitas pessoas podem conhecer. Empresas cujas centrais telefônicas aceitam pedidos apenas com nome, endereço e data de nascimento devem acrescentar uma ligação de retorno para o número cadastrado ou uma pergunta específica da relação.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Ele não trata do nome da empresa cujo acesso foi usado indevidamente, de quem está por trás do incidente nem de técnicas não divulgadas. Pontos baseados em relatos da mídia estão marcados como tal no texto.
- Ministério da Pesquisa, Educação e Digitalização da Dinamarca, "Omfattende uautoriseret adgang til borgeres CPR-oplysninger" (5 de outubro de 2026, em dinamarquês; URL atualizada em 12 de outubro após a mudança do site do ministério) — fudm.dk
- CPR (Det Centrale Personregister), mesmo comunicado (em dinamarquês) — cpr.dk
- sikkerdigital.dk, orientações para cidadãos (5 de outubro de 2026, em dinamarquês) — sikkerdigital.dk
- sikkerdigital.dk, orientações sobre verificação de cidadãos para empresas e autoridades (6 de outubro de 2026, em dinamarquês) — sikkerdigital.dk
- borger.dk, "Kreditadvarsel" (em dinamarquês) — borger.dk
- Agência Digital do Japão, FAQ do My Number (Q1-4, Q1-7; em japonês) — digital.go.jp
- The Hacker News (outubro de 2026, reportagem; suas afirmações sobre a duração e o método não são confirmadas no comunicado do ministério) — thehackernews.com
- DR, "1039 virksomheder har fået indskærpet sikkerhed efter CPR-læk" (Ritzau; em dinamarquês. Sobre o memorando da ministra enviado no sábado, 10 de outubro, a carta às 1.039 empresas enviada na sexta-feira, 9 de outubro, o período de acesso, e as apurações do Politiken sobre a senha "123456" e pelo menos três contas, uma delas de administrador) — dr.dk
- Ingeniøren, "Millioner af CPR-numre var beskyttet med adgangskoden 123456" (9 de outubro de 2026; em dinamarquês. Relata um hacker anônimo dizendo ao Politiken que foi usada uma senha muito simples; não menciona o número de contas nem uma conta de administrador) — ing.dk
Histórico de atualizações
2026-10-12: Atualizada a URL do comunicado do ministério para o novo endereço (fudm.dk). Acrescentados a senha "123456" e o período de acesso relatados (não confirmados pelo governo), e o memorando da ministra conforme relatado pela DR (carta às 1.039 empresas; reconhecimento de que a segurança não era suficiente). Acrescentada a verificação de contas de administrador e compartilhadas para organizações que concedem APIs de consulta.
2026-10-06: Primeira versão, com base no comunicado do ministério dinamarquês de 5 de outubro e nas orientações do sikkerdigital.dk de 5 e 6 de outubro. O ministério afirma que a investigação continua e que os detalhes podem mudar; este artigo será atualizado quando novos fatos forem publicados.
Leia a seguir
- Como definir limites de consulta: Limitação de taxa e controle de abuso
- Incidentes governamentais em 2026: Vazamentos de dados governamentais em 2026 e o que os cidadãos podem fazer
- Vazamento de um portal de pedidos de documentos: Vazamento de dados do France Titres (ANTS)
- Como se preparar contra personificação: O que é phishing / O que é uma senha de uso único
- Outros incidentes em 2026: Lista de vazamentos de dados e ataques cibernéticos