适用对象：居住或曾经居住在丹麦的人士及其家人，以及允许外部企业通过API或查询界面查询居民或客户数据的机构。本文依据丹麦政府的官方公告撰写，不涉及攻击技术。
事态发展中：本文将随政府发布更多信息而更新
截至2026年10月12日尚不清楚
- 查询权限如何被滥用（官方说明）
- 肇事者是谁
- 个人查询是否受影响的方法
- CPR号码是否需要更换
- CPR安全审查结果
丹麦政府在10月5日的公告中表示，随着调查的推进，数字和细节可能会发生变化。自10月9日起报道的密码和访问时长尚未得到政府声明的证实，因此本文将其单独列出，作为媒体报道。
居民（及曾经的居民）今天应该做什么
按受影响来做准备
据政府部门称，约1100万登记人员中约有880万人受到影响，其中包括已迁出和已故人员。截至2026年10月6日，尚未公布个人查询的方法。
如果您过去曾在丹麦学习或工作并获得过CPR号码，您可能受到影响。另外，也要留意那些冒用已故家庭成员姓名的信息。
切勿透露MitID信息或一次性验证码
政府安全网站sikkerdigital.dk提醒人们，绝不要透露MitID信息、一次性验证码、密码或银行卡信息。
政府部门还提醒人们，即使对方似乎知道您的姓名、地址和CPR号码，也不要通过电话或电子邮件透露密码或类似信息。上述三项信息恰恰已被获取，因此知道这些信息的来电者并不能证明什么。
不要点击短信或电子邮件中的链接；请自行访问官方网站
sikkerdigital.dk建议，如果您收到意料之外的带有链接的短信或电子邮件，不要点击，而是自行访问官方网站，或拨打发件方的主号码进行核实。
如果有人来电，请挂断，然后拨打您在官方网站上查到的号码回电。信息越是催促您，就越应该怀疑（如何识别：什么是网络钓鱼）。
如果怀疑被滥用，设置信用警示
据sikkerdigital.dk称，如果您有确切怀疑自己的CPR号码被用于欺诈，可以在borger.dk上设置信用警示（kreditadvarsel）。这是CPR中的一项标记，会使他人更难以您的名义办理贷款或信贷。
据borger.dk称，您必须年满15岁。该标记会立即登记到CPR中，但可能需要几天时间才能在企业系统中生效。它也会使您自己借款更加困难，因此在申请信贷前可以将其移除。如果您无法在线办理，可以请您所在市政府的市民服务处协助（需预约）。
如需帮助，请致电Cyberhotline
丹麦数字安全全国热线（Cyberhotline）号码为+45 33 37 00 37。据政府部门和sikkerdigital.dk称，近期每天开放时间为上午8点至午夜。
如果您在多个服务中重复使用同一密码，请趁此机会将它们分开（如何检查：如何检查您的密码是否已泄露；如何管理：如何选择密码管理器）。
事件经过（依据丹麦政府公告）
2026年10月5日，丹麦研究、教育和数字化部发布了《Omfattende uautoriseret adgang til borgeres CPR-oplysninger》（大规模未经授权访问公民CPR信息）。同样的文本也发布在CPR官方网站上。以下内容均依据该部公告。
2026年9月期间
CPR系统出现异常活动（公告中的信息框）。10月2日（周五）晚间
CPR管理机构注意到这一活动。10月3日至4日（周末）
管理机构得知，未经授权的人员获取了约880万人的姓名、地址和CPR号码。10月5日
政府部门宣布了该事件，sikkerdigital.dk发布了面向居民的建议。部长表示已向议会委员会通报。10月6日
sikkerdigital.dk发布了面向企业和政府机构的指引，这些机构可能会接到公民来电，并请其复核身份核实措施。10月9日（周五）
CPR管理机构向拥有查询权限的1,039家公司发送信件，收紧其安全规则（DR报道）。同日，媒体报道被滥用访问权限的公司使用了密码“123456”（政府未证实）。10月10日（周六）
部长向两个议会委员会提交备忘录（DR报道）。
- 对象
- 约880万名登记人员，包括在世、已迁出和已故人员
- 信息
- 姓名、地址、CPR号码等，属于私营公司被允许查询的数据范围
- 不包括
- 已登记姓名和地址保护（navne- og adressebeskyttelse）的人员的姓名和地址
- 方式
- 未经授权的人员滥用了一家丹麦私营公司对CPR的合法访问权限进行数据查询
- 公司名称
- 公告中未披露
- 应对
- 该公司的访问权限已被停止；已通知丹麦数据保护局；警方正与相关部门共同调查；防止类似事件的措施已经启动，并正在对CPR进行全面安全审查
- 待解决问题
- 调查尚处于早期阶段，肇事者尚不清楚。该部自身警告，进一步梳理可能会改变细节
- 帮助
- sikkerdigital.dk，Cyberhotline +45 33 37 00 37（目前为上午8点至午夜）
已有报道，但不在政府部门公告中
以下内容已在媒体中报道，但未出现在政府部门10月5日的公告中。本文不将其视为已确认事实，若政府发布详细信息，将进行更新。
- 密码“123456”：据丹麦《政治报》（Politiken）的调查结果，由Ritzau通讯社发布（经DR播出），被滥用访问权限的公司至少有三个账户使用了该密码，其中一个为管理员账户。
- 访问权限持续时间：据公共广播机构DR报道，查询权限可用时长为21天17小时。但据CPR管理机构向数据保护局提交的报告，该权限在整个期间并未被全程使用。
- 查询方式：安全新闻网站The Hacker News援引丹麦通讯社和数据保护局的报道称，这些查询包含大量自动化查询。
致1,039家拥有查询权限的公司的信件（DR报道）
据DR报道，部长于10月10日向两个议会委员会提交的备忘录称，10月9日CPR管理机构向拥有查询权限的1,039家公司发送了一封收紧安全规则的信件。主要内容包括：
- 拥有权限的公司必须设有安全负责人
- 必须持续复核员工对登记数据的访问权限
- 必须跟踪每月CPR查询次数，以确认权限未被滥用
DR还报道，部长承认该系统的安全措施不够完善，并要求进行安全审查。本网站无法在丹麦议会网站上查阅该备忘录原文，因此在此以DR的报道形式呈现。
私营公司为何能够查询CPR
政府部门公告包含一个关于私营公司访问权限的信息框。根据《CPR法》第38条，具有合法利益的私营公司可以获取其已逐一确认身份的人员的CPR信息，确认依据为CPR号码、出生日期和姓名，或姓名和地址。
此外，该公司还必须根据欧盟《通用数据保护条例》（GDPR）和丹麦《数据保护法》有权获取这些数据。《CPR法》第38条第2款规定了此类公司一般可以访问哪些数据。
换言之，被利用的并非后门，而是授予公司的合法入口。阻挡入侵者的防御措施，无法阻止使用有效凭证发出的查询。
某私营公司拥有查询权限的账户
被未经授权的人员使用
↓→
CPR查询服务
访问权限有效，因此登录成功
↓→
约880万人的查询结果
私营公司可以查询的信息项
在哪里可以发现异常：不在登录时，而在访问的使用方式上
每个客户的查询量、偏离正常水平的情况、未找到号码的比例、查询量与客户规模的对比
提供查询API的机构应检查什么
本节面向允许合同企业通过API或查询界面查询居民、客户或信用数据的机构。由于事件原因尚未披露，本节涵盖适用于任何以此方式构建的服务的要点。
关于如何设计一般限额（统计对象、统计内容以及达到上限后的处理方式），请参阅速率限制与滥用控制。关于来自AI代理等超人速度的异常活动的迹象，请参阅DIVD案例。此处我们补充的是合法客户访问权限特有的内容。
为每个客户设定与其申报客户规模相匹配的限额
根据丹麦规定，企业只能逐一查询其已确认身份的人员。因此，客户每月查询的人数不应大幅超过其客户数量。
第一步，应根据合同签订时申报的客户数量，为每个客户设定每日和每月的查询限额。当达到限额的80%时通知账户负责人，达到限额时停止查询，并要求客户说明原因。
每日监控偏离正常水平的情况以及未找到号码的比例
仅看绝对查询量，无法发现本身规模就很大的客户的异常。应以每个客户过去30天的日均查询量为基准，当某日的查询量超过基准数倍时发出警报。
另一个信号是查询未返回匹配结果的比例。查询自身客户的企业应当几乎能找到所有人。如果某客户的未找到率突然上升，它可能在查询并非其客户的人员，因此应立即与其核实。
管理员账户和共享账户不得使用易猜测的密码
在本案中，据报道（政府未证实），拥有查询权限的公司至少有三个账户，包括一个管理员账户，使用了密码“123456”。单个被攻破的具有查询权限的账户，即可接触到许多人的数据。
第一步，要求每个客户提供其管理员账户以及由多人共用的账户清单，并确认每个账户均已开启多因素认证。在您这一端，应每月审查成功和失败的登录记录以及每个账户的查询次数，并标记查询量高于正常水平的账户。CPR管理机构要求1,039家公司每月检查查询次数，也是基于同样的思路。
记录谁在何时查询了谁，并能立即切断访问
对于每一次查询，应记录客户、用户、时间以及被查询的人员。合理的最短保存期限为12个月（这是支付卡行业标准PCI DSS对审计日志的要求期限）。没有这些记录，就无法回答哪些人的数据被泄露。
在本案中，CPR管理机构停止了该公司的访问权限。对于每个客户，应确定相应流程，以及能够在不影响其他客户的情况下立即切断其访问权限的负责人。
面向被居民联系的企业和政府机构：复核身份核实措施
10月6日，sikkerdigital.dk要求被公民联系的企业和政府机构重新考虑：如果它们曾使用姓名、地址和CPR号码核实来电者，这些信息是否仍然足够。其列出的方法如下。
本次事件后已不再是身份证明
- CPR号码
- 姓名
- 地址
- 出生日期
sikkerdigital.dk列出的核实方法
- 要求本人通过自助服务登录，例如使用MitID
- 将一次性验证码发送到已登记的电话号码或电子邮件
- 回拨已登记的号码
- 询问与双方关系相关的具体信息，例如客户编号或最近一张发票的编号
该网站表示，对于查阅个人数据、变更联系方式、新增订阅、赊购、新SIM卡、重置密码或变更付款信息等请求，应使用强有力的核实方式，仅凭CPR号码、姓名、地址或出生日期不应足以通过核实。该网站还建议，对于具有财务或安全影响的变更，采取人工核查或设置等待期。
致日本读者：My Number的不同之处，以及仍然适用的教训
据日本数字厅称，日本的个人编号（My Number）用于法律或条例规定的程序，如社会保障、税务和灾害应对，原则上限制用于其他目的。该厅还表示，仅凭编号无法完成手续（数字厅My Number常见问题（日文））。
尽管制度不同，其中的教训可以直接适用：不要将许多人可能知道的号码或地址当作身份密码。如果其电话服务台仅凭姓名、地址和出生日期即可受理请求，企业应增加回拨已登记号码或询问与双方关系相关问题的环节。
资料来源（公开记录）
本文的事实依据以下公开信息。本文不涉及被滥用访问权限的公司名称、事件的肇事者，也不涉及未披露的技术手段。基于媒体报道的内容已在正文中注明。
- 丹麦研究、教育和数字化部，《Omfattende uautoriseret adgang til borgeres CPR-oplysninger》（2026年10月5日，丹麦语；2026年10月12日，因该部网站迁移，网址已更新）——fudm.dk
- CPR（Det Centrale Personregister），同一公告（丹麦语）——cpr.dk
- sikkerdigital.dk，面向公民的建议（2026年10月5日，丹麦语）——sikkerdigital.dk
- sikkerdigital.dk，面向企业和政府机构的公民核实指引（2026年10月6日，丹麦语）——sikkerdigital.dk
- borger.dk，《Kreditadvarsel》（丹麦语）——borger.dk
- 日本数字厅，My Number常见问题（Q1-4、Q1-7；日文）——digital.go.jp
- The Hacker News（2026年10月，新闻报道；其关于时长和方式的说法未得到政府部门公告的证实）——thehackernews.com
- DR，《1039 virksomheder har fået indskærpet sikkerhed efter CPR-læk》（Ritzau；丹麦语。涉及10月10日（周六）部长备忘录、10月9日（周五）致1,039家公司的信件、访问时长，以及《政治报》关于密码“123456”及至少三个账户（其中一个为管理员账户）的调查结果）——dr.dk
- Ingeniøren，《Millioner af CPR-numre var beskyttet med adgangskoden 123456》（2026年10月9日；丹麦语。报道一名匿名黑客告诉《政治报》使用了非常简单的密码；未提及账户数量或管理员账户）——ing.dk
更新记录
2026-10-12：将部门公告的网址更新为新位置（fudm.dk）。新增媒体报道的密码“123456”及访问时长（未经政府证实），以及DR报道的部长备忘录内容（致1,039家公司的信件；承认安全措施不够完善）。为提供查询API的机构新增对管理员账户和共享账户的检查。
2026-10-06：首个版本，依据丹麦政府部门10月5日的公告以及sikkerdigital.dk 10月5日和6日的指引撰写。政府部门表示调查仍在继续，细节可能会改变；发布新事实时，本文将进行更新。
延伸阅读
- 设计查询限额：速率限制与滥用控制
- 2026年政府相关事件：2026年政府数据泄露及公民可采取的措施
- 身份申请门户泄露事件：France Titres（ANTS）数据泄露
- 防范冒充：什么是网络钓鱼 / 什么是一次性密码
- 2026年其他事件：数据泄露与网络攻击一览