Для: людей, которые живут или жили в Дании, и их семей, а также организаций, которые позволяют сторонним компаниям искать данные жителей или клиентов через API или экран поиска. Статья основана на официальном уведомлении правительства Дании и не описывает методы атак.
Развивается: статья будет обновляться по мере публикации новых данных правительством
По состоянию на 12 октября 2026 годаПока неизвестно
- Как именно был использован доступ для поиска (официальная версия)
- Кто за этим стоит
- Способ индивидуальной проверки, затронуты ли вы
- Нужно ли менять номера CPR
- Результаты проверки безопасности CPR
В своём уведомлении от 5 октября правительство Дании сообщило, что цифры и подробности могут измениться по мере продолжения расследования. Пароль и срок доступа, о которых сообщалось начиная с 9 октября, не подтверждены в заявлениях правительства, поэтому в этой статье они приводятся отдельно как сообщения СМИ.
Что должны сделать сегодня жители (и бывшие жители)
Действуйте так, будто вы затронуты
По данным министерства, около 8,8 млн из примерно 11 млн зарегистрированных людей затронуты, включая эмигрировавших и умерших. По состоянию на 6 октября способ индивидуальной проверки не объявлен.
Если вы когда-либо учились или работали в Дании, вы можете быть затронуты, если вам присваивали номер CPR. Также обращайте внимание на сообщения, в которых используется имя умершего члена семьи.
Никогда не сообщайте данные MitID и одноразовые коды
Государственный сайт безопасности sikkerdigital.dk просит никогда не сообщать данные MitID, одноразовые коды, пароли или данные банковской карты.
Министерство также напоминает не сообщать пароли или подобные данные по телефону или электронной почте, даже если собеседник, похоже, знает ваши имя, адрес и номер CPR. Именно эти три сведения были получены, поэтому то, что звонящий их знает, ничего не доказывает.
Не переходите по ссылкам в сообщениях и письмах; сами зайдите на официальный сайт
sikkerdigital.dk советует: если вы получили неожиданное сообщение или письмо со ссылкой, не нажимайте на неё, а сами зайдите на официальный сайт или позвоните по основному номеру отправителя, чтобы перепроверить.
Если вам звонят, положите трубку и перезвоните на номер, который вы нашли на официальном сайте. Чем больше сообщение торопит вас, тем больше причин сомневаться в нём (как распознать: что такое фишинг).
Если вы подозреваете злоупотребление, установите кредитное предупреждение
По данным sikkerdigital.dk, если у вас есть конкретное подозрение, что ваш номер CPR используется для мошенничества, вы можете установить кредитное предупреждение (kreditadvarsel) на borger.dk. Это отметка в CPR, которая затрудняет оформление кредитов или займов на ваше имя.
По данным borger.dk, вам должно быть не менее 15 лет. Отметка регистрируется в CPR сразу, но может пройти несколько дней, прежде чем она начнёт действовать в системах компаний. Она также затрудняет получение кредитов вами самими, поэтому её можно снять перед подачей заявки на кредит. Если вы не можете сделать это онлайн, с этим может помочь муниципальная служба для граждан (по записи).
Если нужна помощь, позвоните на Cyberhotline
Национальная горячая линия по цифровой безопасности Cyberhotline: +45 33 37 00 37. По данным министерства и sikkerdigital.dk, в ближайшие дни она работает с 8:00 до полуночи.
Если вы используете одинаковые пароли в разных сервисах, воспользуйтесь этой возможностью и разделите их (как проверить: как проверить, утёк ли ваш пароль; как управлять ими: как выбрать менеджер паролей).
Что произошло (по уведомлению правительства Дании)
5 октября 2026 года министерство исследований, образования и цифровизации Дании опубликовало материал «Omfattende uautoriseret adgang til borgeres CPR-oplysninger» («Масштабный несанкционированный доступ к данным CPR граждан»). Тот же текст размещён на официальном сайте CPR. Всё ниже основано на уведомлении министерства.
В течение сентября 2026 года
В системе CPR была нерегулярная активность (информационная врезка в уведомлении).Пятница, 2 октября, вечер
Администрация CPR обнаружила эту активность.3–4 октября (выходные)
Администрация установила, что неуполномоченные лица получили имена, адреса и номера CPR около 8,8 млн человек.5 октября
Министерство объявило об инциденте, а sikkerdigital.dk опубликовал рекомендации для жителей. Министр говорит, что проинформировала парламентский комитет.6 октября
sikkerdigital.dk опубликовал рекомендации для компаний и органов власти, с которыми связываются граждане, с призывом пересмотреть проверки личности.Пятница, 9 октября
Администрация CPR отправила 1 039 компаниям, имеющим доступ для поиска, письмо с ужесточением правил безопасности (сообщает DR). В тот же день СМИ сообщили, что в компании, доступ которой был использован незаконно, применялся пароль «123456» (правительство этого не подтвердило).Суббота, 10 октября
Министр направила служебную записку двум парламентским комитетам (сообщает DR).
- Кто
- Около 8,8 млн зарегистрированных людей, включая живых, эмигрировавших и умерших
- Данные
- Имена, адреса, номера CPR и другие данные в пределах того, что частные компании имеют право искать
- Не включено
- Имена и адреса людей, находящихся под защитой имени и адреса (navne- og adressebeskyttelse)
- Как
- Неуполномоченные лица использовали законный доступ частной датской компании для поиска данных в CPR
- Название компании
- В уведомлении не раскрывается
- Реакция
- Доступ компании остановлен; Датское агентство по защите данных уведомлено; полиция расследует совместно с соответствующими органами; начаты меры по предотвращению подобных инцидентов, проводится тщательная проверка безопасности CPR
- Открытые вопросы
- Расследование находится на ранней стадии, и неизвестно, кто за этим стоит. Само министерство предупреждает, что дальнейшее выяснение может изменить детали
- Помощь
- sikkerdigital.dk, Cyberhotline +45 33 37 00 37 (с 8:00 до полуночи на данный момент)
Сообщалось в СМИ, но этого нет в уведомлении министерства
Перечисленные ниже сведения были опубликованы в СМИ, но не содержатся в уведомлении министерства от 5 октября. Эта статья не рассматривает их как установленные факты и будет обновлена, если правительство опубликует подробности.
- Пароль «123456»: по данным расследования датской газеты Politiken, распространённого информагентством Ritzau (опубликовано DR), как минимум три учётные записи компании, доступом которой злоупотребили, использовали этот пароль, одна из них — учётная запись администратора.
- Как долго был доступен поиск: по данным общественного вещателя DR, доступ для поиска был открыт 21 день и 17 часов. Однако, согласно отчёту администрации CPR в Агентство по защите данных, он использовался не на протяжении всего этого периода.
- Как выполнялись запросы: The Hacker News, новостной сайт о безопасности, сообщает со ссылкой на датское информагентство и Агентство по защите данных, что они состояли из очень большого количества автоматизированных запросов.
Письмо 1 039 компаниям, имеющим доступ для поиска (сообщает DR)
По данным DR, служебная записка министра, направленная двум парламентским комитетам 10 октября, сообщает, что 9 октября администрация CPR отправила 1 039 компаниям, имеющим доступ для поиска, письмо с ужесточением правил безопасности. Основные пункты:
- У компаний, имеющих доступ, должен быть ответственный сотрудник по безопасности
- Они должны постоянно проверять доступ сотрудников к данным реестра
- Они должны отслеживать ежемесячное количество запросов к CPR, чтобы убедиться, что доступом не злоупотребляют
DR также сообщает, что министр признала недостаточный уровень безопасности системы и попросила провести проверку безопасности. Этот сайт не смог ознакомиться с самой запиской на сайте датского парламента, поэтому здесь она приводится в изложении DR.
Почему частные компании вообще могут искать данные в CPR
В уведомлении министерства есть информационная врезка о доступе частных компаний. Согласно разделу 38 закона о CPR, частные компании, имеющие законный интерес, могут получать данные CPR о людях, которых они уже идентифицировали поштучно, по номеру CPR, дате рождения и имени либо по имени и адресу.
Кроме того, компания должна иметь право получать эти данные в соответствии с Общим регламентом ЕС о защите данных (GDPR) и Законом Дании о защите данных. Пункт 2 раздела 38 закона о CPR определяет, к каким данным такие компании, как правило, имеют доступ.
Иными словами, использован был не чёрный ход, а законный доступ, предоставленный компаниям. Средства защиты, которые останавливают взломщиков, не останавливают запросы, которые приходят с действительными учётными данными.
Учётная запись частной компании с доступом для поиска
используется неуполномоченными лицами
↓→
Служба поиска CPR
доступ действительный, поэтому вход успешен
↓→
Результаты примерно для 8,8 млн человек
данные, которые частные компании могут искать
Где заметить: не при входе, а по тому, как используется доступ
объём по каждому клиенту, отклонение от нормы, доля не найденных номеров, объём относительно размера клиента
Что должны проверять организации, которые предоставляют API для поиска
Этот раздел предназначен для организаций, которые позволяют договорным компаниям искать данные жителей, клиентов или кредитные данные через API или экран поиска. Поскольку причина не раскрыта, здесь приводятся пункты, применимые к любому сервису, построенному таким образом.
Общие принципы установки лимитов (кого считать, что считать и что делать при достижении лимита) описаны в статье ограничение частоты запросов и контроль злоупотреблений. Признаки неестественно быстрой активности, например от ИИ-агентов, описаны в статье о случае DIVD. Здесь мы добавляем то, что относится именно к доступу законного клиента.
Установите каждому клиенту лимит, соответствующий заявленной базе клиентов
По датским правилам компания может искать людей, которых она уже идентифицировала поштучно. Поэтому количество людей, которых клиент ищет за месяц, не должно сильно превышать количество его клиентов.
Для начала задайте дневные и месячные лимиты поиска для каждого клиента на основе количества клиентов, заявленного при заключении договора. Уведомляйте владельца учётной записи при достижении 80% лимита, а при достижении лимита останавливайте поиск и запрашивайте у клиента причину.
Ежедневно отслеживайте отклонения от нормы и долю не найденных номеров
Один только абсолютный объём не выявит аномалий у клиента, который изначально велик. Используйте средний дневной объём каждого клиента за последние 30 дней как базовый уровень и оповещайте о днях, превышающих его в несколько раз.
Другой сигнал — доля запросов, которые не дают совпадений. Клиент, ищущий собственных клиентов, должен находить почти всех. Если доля ненайденных резко растёт, клиент может искать людей, которые не являются его клиентами, поэтому немедленно уточните это у него.
Не оставляйте угадываемых паролей в учётных записях администраторов и общих учётных записях
В данном случае, по сообщениям, как минимум три учётные записи компании с доступом для поиска, включая учётную запись администратора, использовали пароль «123456» (правительство этого не подтвердило). Одна скомпрометированная учётная запись с правами поиска открывает доступ к данным многих людей.
Для начала запросите у каждого клиента список его учётных записей администраторов и учётных записей, которыми пользуются несколько человек, и проверьте, включена ли для каждой многофакторная аутентификация. На своей стороне ежемесячно проверяйте успешные и неудачные входы и количество запросов по каждой учётной записи и отмечайте учётные записи с объёмом выше обычного. Ежемесячная проверка количества запросов, которую администрация CPR потребовала от 1 039 компаний, основана на той же идее.
Не возлагайте безопасность учётных записей клиента только на самого клиента
Когда законным доступом пользуется кто-то другой, проверка идентификаторов и паролей не помогает. Сделайте обязательными условиями договора многофакторную аутентификацию, ограничения по IP-адресам источников и регулярную смену API-ключей для учётных записей поиска (подробнее: аутентификация и авторизация, как выбрать двухфакторную аутентификацию).
Также раз в год проверяйте, не имеет ли какой-либо клиент доступа, необычно широкого для его размера, или доступа, которым он больше не пользуется.
Фиксируйте, кто, кого и когда искал, и будьте готовы сразу отключить доступ
Для каждого запроса записывайте клиента, пользователя, время и того, кого искали. Разумный минимальный срок хранения — 12 месяцев (период, который стандарт индустрии платёжных карт PCI DSS требует для журналов аудита). Без этих записей вы не сможете ответить, чьи данные были переданы.
В данном случае администрация CPR остановила доступ компании. Для каждого клиента определите процедуру и лицо, которое может немедленно отключить его доступ, не затрагивая других клиентов.
Для компаний и органов власти, с которыми связываются жители: пересмотрите проверки личности
6 октября sikkerdigital.dk призвал компании и органы власти, с которыми связываются граждане, пересмотреть, достаточно ли ещё имени, адреса и номера CPR, если они использовали эти данные для проверки звонящих. Ниже перечислены способы, которые он предлагает.
После этого инцидента больше не являются доказательством личности
- Номер CPR
- Имя
- Адрес
- Дата рождения
Проверки, перечисленные sikkerdigital.dk
- Попросить человека войти в личный кабинет самообслуживания, например с помощью MitID
- Отправить одноразовый код на номер телефона или адрес электронной почты, уже указанные в учётных данных
- Перезвонить на номер, уже указанный в учётных данных
- Спросить о сведениях, относящихся к конкретным отношениям, например номер клиента или номер последнего счёта
Сайт сообщает, что для таких запросов, как доступ к персональным данным, изменение контактных данных, оформление новых подписок, покупки в кредит, новые SIM-карты, сброс паролей или изменение платёжных реквизитов, следует использовать надёжную проверку, а номера CPR, имени, адреса или даты рождения недостаточно. Он также предлагает ручную проверку или период ожидания для изменений с финансовыми или связанными с безопасностью последствиями.
Для читателей из Японии: чем отличается «Мой номер» и какой урок остаётся в силе
По данным японского Цифрового агентства, японский «Мой номер» (My Number) используется для процедур, установленных законами или постановлениями, например в социальном обеспечении, налогах и при ликвидации последствий стихийных бедствий, а предоставление его для других целей в принципе ограничено. Агентство также сообщает, что один только номер не может использоваться для завершения процедур (FAQ Цифрового агентства о «Моём номере», на японском).
Несмотря на различия систем, урок применим напрямую: не используйте в качестве пароля для подтверждения личности номера или адреса, которые могут знать многие люди. Компаниям, службы которых принимают запросы только по имени, адресу и дате рождения, следует добавить обратный звонок на номер из учётных данных или вопрос, относящийся к конкретным отношениям.
Источники (открытые публикации)
Факты в этой статье основаны на следующей открытой информации. Статья не содержит названия компании, доступом которой злоупотребили, не сообщает, кто стоит за инцидентом, и не описывает методы, которые не были раскрыты. Сведения, основанные на сообщениях СМИ, отмечены как таковые в тексте.
- Министерство исследований, образования и цифровизации Дании, «Omfattende uautoriseret adgang til borgeres CPR-oplysninger» (5 октября 2026 года, на датском; адрес обновлён 12 октября после переезда сайта министерства) — fudm.dk
- CPR (Det Centrale Personregister), то же уведомление (на датском) — cpr.dk
- sikkerdigital.dk, рекомендации для граждан (5 октября 2026 года, на датском) — sikkerdigital.dk
- sikkerdigital.dk, рекомендации компаниям и органам власти по проверке граждан (6 октября 2026 года, на датском) — sikkerdigital.dk
- borger.dk, «Kreditadvarsel» (на датском) — borger.dk
- Цифровое агентство Японии, FAQ о «Моём номере» (Q1-4, Q1-7; на японском) — digital.go.jp
- The Hacker News (октябрь 2026 года, новостное сообщение; его утверждения о продолжительности и методе не подтверждены уведомлением министерства) — thehackernews.com
- DR, «1039 virksomheder har fået indskærpet sikkerhed efter CPR-læk» (Ritzau; на датском. Речь о служебной записке министра, направленной в субботу, 10 октября, о письме 1 039 компаниям, отправленном в пятницу, 9 октября, о сроке доступа и о результатах Politiken по паролю «123456» и как минимум трём учётным записям, одна из которых — администраторская) — dr.dk
- Ingeniøren, «Millioner af CPR-numre var beskyttet med adgangskoden 123456» (9 октября 2026 года; на датском. Сообщает, что анонимный хакер рассказал Politiken об очень простом пароле; не упоминает количество учётных записей или учётную запись администратора) — ing.dk
История обновлений
2026-10-12: обновлён адрес уведомления министерства (fudm.dk). Добавлены сообщённый пароль «123456» и срок доступа (не подтверждены правительством), а также служебная записка министра в изложении DR (письмо 1 039 компаниям; признание недостаточного уровня безопасности). Добавлена проверка административных и общих учётных записей для организаций, которые предоставляют API для поиска.
2026-10-06: первая версия, основанная на уведомлении министерства Дании от 5 октября и рекомендациях sikkerdigital.dk от 5 и 6 октября. Министерство сообщает, что расследование продолжается и детали могут измениться; статья будет обновлена при публикации новых фактов.
Читайте дальше
- Как настроить лимиты поиска: Ограничение частоты запросов и контроль злоупотреблений
- Инциденты в государственных структурах в 2026 году: Утечки данных государственных органов в 2026 году и что могут сделать граждане
- Утечка с портала заявлений на документы: Утечка данных France Titres (ANTS)
- Подготовка к выдаче себя за другого: Что такое фишинг / Что такое одноразовый пароль
- Другие инциденты в 2026 году: Список утечек данных и кибератак