Danemark : Le mot de passe « 123456 » au cœur d’une fuite touchant 8,8 millions de personnes

Six chiffres et des millions de données exposées. Au Danemark, un attaquant aurait utilisé le mot de passe « 123456 » pour détourner l’accès d’une entreprise au registre central de la population, le CPR. L’administration a confirmé que des personnes non autorisées avaient accédé aux noms, adresses, numéros d’identification et autres informations concernant environ 8,8 millions de personnes enregistrées. L’activité inhabituelle aurait été découverte grâce à une facture de consultations anormalement élevée.

Les points clés de cet article :

L’accès autorisé de Pays ApS, une entreprise danoise, a été détourné pour consulter le registre CPR.

Selon les médias danois, un mot de passe divulgué, « 123456 », aurait permis l’intrusion, suivie d’environ 14 millions de recherches.

L’affaire souligne les risques liés aux accès des prestataires et à la détection tardive des consultations massives.

Un accès professionnel détourné pour interroger le registre CPR

L’incident ne correspond pas à une ouverture publique du registre. L’attaquant est passé par l’accès légitime d’une entreprise habilitée à consulter certaines données. Pays ApS, basée à Odense, a confirmé à TV 2 que son accès avait été utilisé frauduleusement.

La société fournit notamment des services de mise à jour de fichiers : vérification d’adresses, identification de personnes décédées et suivi des changements de domicile. Selon TV 2, cité par Malwarebytes, le mot de passe utilisé était associé à un ancien salarié et figurait dans une fuite antérieure.

Environ 14 millions de recherches auraient été effectuées. L’accès est resté possible pendant une vingtaine de jours avant sa fermeture le 2 octobre, alors que l’activité suspecte semblait s’être arrêtée le 20 septembre. C’est une facture inhabituellement élevée qui aurait attiré l’attention sur ces consultations.

Le total de 8,8 millions de personnes comprend aussi des personnes décédées, ce qui explique qu’il dépasse la population actuelle du pays. L’administration précise que les noms et adresses des personnes bénéficiant d’une protection spécifique n’ont pas été exposés. Cette précision ne permet pas d’affirmer que toutes leurs autres données ont été épargnées.

L’accès de l’entreprise a été suspendu, l’autorité de protection des données saisie et une enquête policière ouverte.

Données personnelles : Un risque qui concerne aussi les plateformes crypto

Au-delà du mot de passe, l’incident pose la question de la surveillance des accès. Une authentification réussie ne garantit pas que les consultations suivantes soient légitimes. Leur fréquence, leur volume et leur écart avec l’activité habituelle doivent également être contrôlés.

Cette problématique concerne aussi les entreprises qui collectent des pièces d’identité et des justificatifs dans le cadre de procédures de connaissance du client, ou KYC, notamment les plateformes crypto. Les accès accordés aux salariés et aux prestataires constituent autant de points à protéger.

L’authentification multifacteur, la suppression des comptes devenus inutiles, la limitation des permissions et les alertes sur les consultations inhabituelles répondent à des risques complémentaires. Aucun de ces dispositifs ne remplace les autres.

La minimisation des données peut également réduire les conséquences d’une intrusion. La divulgation sélective et certaines preuves cryptographiques permettent, dans des usages adaptés, de vérifier un attribut sans transmettre un dossier complet. Elles ne suppriment toutefois ni toutes les obligations d’identification ni la nécessité de sécuriser les systèmes.