適用對象：曾經或目前住在丹麥的人及其家人，以及透過 API 或查詢介面讓外部企業查詢居民或客戶資料的機構。本文依據丹麥政府的正式公告撰寫，不涵蓋攻擊技術。
進行中：政府公布更多資訊時，本文將更新
截至 2026 年 10 月 12 日尚不確定
- 查詢權限遭濫用的方式（官方說明）
- 背後是誰
- 可個別查詢自己是否受影響的方法
- CPR 號碼是否需要更換
- CPR 安全檢討的結果
丹麥政府在 10 月 5 日的公告中表示，隨著調查進行，數字與細節可能會有所變動。自 10 月 9 日起被報導的密碼與存取期間，尚未在政府的說明中獲得證實，因此本文將其與官方資訊分開，標示為媒體報導。
居民（與曾經的居民）今天該做什麼
以受影響者的標準預做準備
依據部會說法，約 1,100 萬名登記人士中，約 880 萬人受影響，其中包括已移居國外及已故的人士。截至 10 月 6 日，尚未公布可個別查詢的方法。
如果你過去曾在丹麥就學或工作，並且獲得過 CPR 號碼，你可能受到影響。也請留意冒用已故家人姓名的訊息。
絕不分享 MitID 資料或一次性驗證碼
政府資安網站 sikkerdigital.dk 提醒民眾，絕不要分享 MitID 資料、一次性驗證碼、密碼或卡片資料。
部會也提醒，即使對方似乎知道你的姓名、地址和 CPR 號碼，也不要透過電話或電子郵件提供密碼或類似資料。正是這三項資料被取得，因此知道這些資料的來電者並不能證明什麼。
不要點擊簡訊或電子郵件中的連結；請自行前往官方網站
sikkerdigital.dk 建議，若收到意外的簡訊或電子郵件並附有連結，不要點擊，而是自行前往官方網站，或撥打寄件機構的總機號碼再次確認。
若有人來電，請掛斷，並撥打你在官方網站上查到的號碼回電。訊息越催促你，越應懷疑（如何辨識：什麼是網路釣魚）。
若懷疑遭濫用，設定信用警示
依據 sikkerdigital.dk，若你具體懷疑自己的 CPR 號碼被用於詐騙，可以在 borger.dk 設定信用警示（kreditadvarsel）。這是 CPR 中的一個標記，會使他人難以以你的名義辦理貸款或信用。
依據 borger.dk，設定者須年滿 15 歲。標記會立即登錄於 CPR，但需要數天才會在各公司的系統中生效。此外，這也會使你自己借款較為困難，因此你可以在申請信用前將其移除。若無法線上辦理，你所在的市政府市民服務處可以協助（需預約）。
需要協助時，撥打 Cyberhotline
丹麥全國數位安全專線 Cyberhotline 為 +45 33 37 00 37。依據部會與 sikkerdigital.dk，近期開放時間為上午 8 點至午夜。
若你在多個服務中重複使用密碼，請趁此機會將它們分開（如何檢查：如何檢查密碼是否外洩；如何管理：如何選擇密碼管理工具）。
發生了什麼（依據丹麥政府的公告）
2026 年 10 月 5 日，丹麥研究、教育與數位化部發布了「Omfattende uautoriseret adgang til borgeres CPR-oplysninger」（大規模未經授權存取公民 CPR 資料）。同一文字也刊登於 CPR 的官方網站。以下內容均依據部會的公告。
2026 年 9 月期間
CPR 系統出現異常活動（公告中的事實方塊）。週五，10 月 2 日晚間
CPR 管理單位注意到該異常活動。10 月 3–4 日（週末）
管理單位得知，未獲授權的人士已取得約 880 萬人的姓名、地址與 CPR 號碼。10 月 5 日
部會宣布此事件，sikkerdigital.dk 發布給居民的建議。部長表示已向國會委員會報告。10 月 6 日
sikkerdigital.dk 發布給企業與機關的指引，這些單位會接到民眾來電，請它們檢視身分驗證方式。週五，10 月 9 日
CPR 管理單位寄信給擁有查詢權限的 1,039 家公司，加強其安全規則（DR 報導）。同日，媒體報導權限遭濫用的公司使用了密碼「123456」（政府未證實）。週六，10 月 10 日
部長向兩個國會委員會提交備忘錄（DR 報導）。
- 對象
- 約 880 萬名登記人士，包括在世、已移居國外及已故的人士
- 項目
- 姓名、地址、CPR 號碼等，在民營公司可查詢的範圍之內
- 不包括
- 已登記姓名與地址保護（navne- og adressebeskyttelse）的人士之姓名與地址
- 方式
- 未獲授權的人士濫用一家丹麥民營公司在 CPR 中查詢資料的合法權限
- 公司名稱
- 公告中未公開
- 應對
- 該公司的權限已停止；已通知丹麥資料保護局；警方與相關機關共同調查；防止類似事件的措施已開始推動，CPR 的全面安全檢討也正在進行
- 待釐清事項
- 調查仍處於早期階段，尚不清楚背後是誰。部會本身警告，後續釐清可能會改變細節
- 協助
- sikkerdigital.dk、Cyberhotline +45 33 37 00 37（目前上午 8 點至午夜）
已報導，但未見於部會公告
以下內容已見於媒體報導，但未出現在部會 10 月 5 日的公告中。本文不將其視為已確立的事實，若政府公布細節，本文將會更新。
- 密碼「123456」：依據丹麥日報 Politiken 的調查結果，由通訊社 Ritzau 發布（DR 刊載），權限遭濫用的公司至少有三個帳戶使用此密碼，其中一個為管理員帳戶。
- 查詢權限可用的時間：依據公共廣播電台 DR 的報導，查詢權限可用了 21 天 17 小時。然而，依據 CPR 管理單位向資料保護局提交的報告，該權限並非在整段期間內都被使用。
- 查詢方式：資安新聞網站 The Hacker News 引述丹麥通訊社與資料保護局報導，指出查詢數量極大，屬於自動化查詢。
致 1,039 家擁有查詢權限的公司之信件（DR 報導）
依據 DR，部長於 10 月 10 日提交給兩個國會委員會的備忘錄指出，10 月 9 日 CPR 管理單位寄信給 1,039 家擁有查詢權限的公司，加強其安全規則。主要內容如下：
- 擁有權限的公司必須設置資安負責人
- 必須持續檢視員工對登記資料的存取權限
- 必須追蹤每月的 CPR 查詢次數，以確認權限沒有遭到濫用
DR 也報導，部長已承認系統周邊的安全措施不夠好，並要求進行安全檢討。本站無法在丹麥國會網站上查閱該備忘錄本身，因此此處以 DR 的報導形式呈現。
為何民營公司能查詢 CPR
部會公告中包含一個關於民營公司查詢權限的事實方塊。依據 CPR 法第 38 條，具有正當利益的民營公司，可以取得已逐一識別身分之人士的 CPR 資料，識別方式為 CPR 號碼、出生日期與姓名，或姓名與地址。
此外，該公司還必須依據歐盟《一般資料保護規則》（GDPR）及丹麥《資料保護法》有權取得該資料。CPR 法第 38 條第 2 項規定，這類公司通常可以存取哪些資料。
換言之，被使用的並非後門，而是授予企業的合法入口。阻擋入侵者的防禦機制，無法阻止以有效憑證發出的查詢。
民營公司擁有查詢權限的帳戶
遭未經授權的人士使用
↓→
CPR 查詢服務
權限有效，因此登入成功
↓→
約 880 萬人的查詢結果
民營公司可查詢的項目
可察覺之處：不在登入時，而在權限的使用方式
每個客戶的查詢量、偏離常態的程度、查無結果的比例、查詢量與客戶規模的對照
提供查詢 API 的機構應檢查什麼
本節適用於讓簽約企業透過 API 或查詢介面查詢居民、客戶或信用資料的機構。由於原因尚未公開，本節涵蓋適用於任何以此方式建置之服務的要點。
一般性的查詢上限設計（計算對象、計算什麼、達到上限時如何處理）請參閱速率限制與濫用控制。類似 AI 代理程式的超乎人類速度之活動跡象，請參閱DIVD 案例。本節則補充合法客戶權限特有的檢查重點。
依客戶宣告的客戶規模，設定相符的查詢上限
依據丹麥規定，企業只能逐一查詢已識別身分的人士。因此，客戶在一個月內查詢的人數，不應大幅超過其客戶數。
作為第一步，應根據簽約時宣告的客戶數，為每個客戶設定每日與每月查詢上限。查詢量達上限的 80% 時通知帳戶負責人；達到上限時停止查詢，並要求客戶說明原因。
每日監控偏離常態的情況與查無結果的比例
單看絕對查詢量，無法發現原本規模就很大的客戶之異常。請以每個客戶過去 30 天的平均每日查詢量作為基準，當某日超過基準數倍時發出警報。
另一項指標是查無結果的查詢比例。查詢自家客戶的企業，應該幾乎都能找到對應資料。查無結果比例突然上升的客戶，可能正在查詢並非其客戶的人士，應立即與其查證。
管理員與共用帳戶不得使用可被猜中的密碼
本案中，據報導，擁有查詢權限的公司至少有三個帳戶（包括一個管理員帳戶）使用了密碼「123456」（政府未證實）。一個擁有查詢權限而遭入侵的帳戶，就能觸及許多人的資料。
作為第一步，請每個客戶提供其管理員帳戶及由多人共用之帳戶的清單，並確認每個帳戶都已啟用多因素驗證。在你這一方，應每月檢視成功與失敗的登入紀錄及各帳戶的查詢次數，並標記查詢量高於正常的帳戶。CPR 管理單位要求 1,039 家公司每月檢查查詢次數，也是基於同樣的概念。
不要把客戶帳戶安全交由客戶自行負責
當合法權限被他人使用時，檢查身分證明與密碼並無幫助。應以合約條款要求多因素驗證、限制來源 IP 位址，並定期更換查詢帳戶的 API 金鑰（背景知識：身分驗證與授權的差異、如何選擇雙因素驗證）。
此外，每年檢視一次，是否有客戶持有的權限相對其規模過於廣泛，或是有不再使用的權限。
記錄誰在何時查詢了誰，並能立即切斷權限
每一次查詢都應記錄客戶、使用者、時間及被查詢的人。合理的最低保存期限為 12 個月（這是卡片產業標準 PCI DSS 對稽核紀錄的要求期間）。若沒有這些紀錄，就無法回答哪些人的資料外流。
本案中，CPR 管理單位停止了該公司的權限。對每個客戶，都應事先決定可以立即切斷其權限、且不影響其他客戶的程序與負責人。
致居民所聯繫的企業與機關：檢視身分驗證方式
10 月 6 日，sikkerdigital.dk 要求接到民眾來電的企業與機關重新考慮：若它們曾用姓名、地址與 CPR 號碼來核實來電者，這些資料是否仍然足夠。以下是該網站列出的方法。
本次事件後，已不再能作為身分證明
- CPR 號碼
- 姓名
- 地址
- 出生日期
sikkerdigital.dk 列出的驗證方式
- 請對方透過自助服務登入，例如使用 MitID
- 將一次性驗證碼傳送至已登錄在案的電話號碼或電子郵件
- 撥打已登錄在案的號碼回電
- 詢問與雙方關係相關的特定資訊，例如客戶編號或最近一張帳單的號碼
該網站表示，對於查閱個人資料、變更聯絡資料、新增訂閱、信用購買、申辦新 SIM 卡、重設密碼或變更付款資料等要求，應使用強效驗證，且 CPR 號碼、姓名、地址或出生日期不應足以完成驗證。該網站也建議，對於具有財務或安全影響的變更，採用人工核對或設置等待期。
致日本讀者：My Number 的不同之處，以及仍然適用的教訓
依據日本數位廳，日本的 My Number 用於法律或政令規定的程序，例如社會保障、稅務與災害應對，原則上禁止為其他目的提供。數位廳也表示，僅憑該號碼無法完成程序（數位廳 My Number 常見問題（日文））。
儘管制度不同，教訓仍可直接適用：不要把許多人可能知道的號碼或地址當作身分密碼。若電話客服僅憑姓名、地址與出生日期就接受申請，應加入回撥至已登錄號碼，或詢問與雙方關係相關之問題。
來源（公開紀錄）
本文的事實依據以下公開資訊。本文不涵蓋權限遭濫用的公司名稱、事件背後的人士，或尚未公開的技術。依據媒體報導的內容，已在文中標明。
- 丹麥研究、教育與數位化部，「Omfattende uautoriseret adgang til borgeres CPR-oplysninger」（2026 年 10 月 5 日，丹麥文；10 月 12 日因部會網站遷移而更新網址）— fudm.dk
- CPR（Det Centrale Personregister）同一公告（丹麥文）— cpr.dk
- sikkerdigital.dk，給民眾的建議（2026 年 10 月 5 日，丹麥文）— sikkerdigital.dk
- sikkerdigital.dk，給企業與機關的民眾身分核實指引（2026 年 10 月 6 日，丹麥文）— sikkerdigital.dk
- borger.dk，「Kreditadvarsel」（丹麥文）— borger.dk
- 日本數位廳，My Number 常見問題（Q1-4、Q1-7；日文）— digital.go.jp
- The Hacker News（2026 年 10 月，新聞報導；其關於期間與方式的說法未見於部會公告）— thehackernews.com
- DR，「1039 virksomheder har fået indskærpet sikkerhed efter CPR-læk」（Ritzau；丹麥文。涉及 10 月 10 日（週六）部長提交的備忘錄、10 月 9 日（週五）寄給 1,039 家公司的信件、權限期間，以及 Politiken 關於密碼「123456」與至少三個帳戶（其中一個為管理員帳戶）的調查結果）— dr.dk
- Ingeniøren，「Millioner af CPR-numre var beskyttet med adgangskoden 123456」（2026 年 10 月 9 日；丹麥文。報導一名匿名駭客告訴 Politiken 使用了非常簡單的密碼；未提及帳戶數量或管理員帳戶）— ing.dk
更新紀錄
2026-10-12：將部會公告的網址更新為新位置（fudm.dk）。新增媒體報導的密碼「123456」與權限期間（政府未證實），以及 DR 報導的部長備忘錄（致 1,039 家公司的信件；承認安全措施不夠好）。為提供查詢 API 的機構新增管理員與共用帳戶的檢查項目。
2026-10-06：首次發布，依據丹麥部會 10 月 5 日的公告，以及 sikkerdigital.dk 10 月 5 日與 6 日的指引。部會表示調查仍在進行，細節可能會改變；有新事實公布時，本文將更新。
延伸閱讀
- 設計查詢上限：速率限制與濫用控制
- 2026 年政府事件：2026 年政府資料外洩與民眾可以做什麼
- 身分申請入口網站外洩案：法國 Titres（ANTS）資料外洩
- 防範冒名：什麼是網路釣魚 / 什麼是一次性密碼
- 2026 年其他事件：資料外洩與網路攻擊列表