Le ministère danois de la Recherche, de l’Éducation et du Numérique a annoncé le 5 octobre que des personnes non autorisées avaient obtenu les noms, adresses et numéros CPR d’environ 8,8 millions de personnes inscrites au registre central de la population. Le registre en compte environ 11 millions, en incluant les personnes décédées et celles parties à l’étranger : c’est donc près de 80 % du fichier qui est concerné.
Comment les données ont été obtenues
Le CPR n’a pas été piraté au sens classique. Selon le communiqué officiel, les auteurs ont utilisé l’accès légal d’une entreprise privée danoise au système, dans les limites des informations auxquelles les entreprises ont normalement droit. Cet accès est prévu par la loi sur le CPR et encadré par le RGPD. L’entreprise n’a pas été nommée.
L’autorité danoise de protection des données, Datatilsynet, décrit un très grand nombre de consultations automatisées destinées à identifier des numéros CPR valides. Autrement dit, les numéros auraient été devinés puis vérifiés un par un, et chaque réponse positive renvoyait le nom et l’adresse associés. Une méthode qui n’a fonctionné que parce que le système acceptait un tel volume de requêtes depuis un compte légitime.
Chronologie
| Date | Événement |
|---|---|
| Septembre 2026 | Consultations irrégulières dans le système CPR |
| 2 oct., soir | L’administration du CPR repère l’activité anormale |
| 3-4 oct. | Évaluation de l’ampleur ; notification à Datatilsynet le 4 octobre |
| 5 oct. | Annonce publique du ministère et de Datatilsynet |
Quelles données ont fuité
- noms ;
- adresses ;
- numéros CPR, l’identifiant personnel unique utilisé par l’administration, la santé, les banques et de nombreuses entreprises.
Les personnes qui bénéficient d’une protection de nom et d’adresse ne sont pas concernées, précise le ministère. Les chiffres pourraient encore être affinés, et les responsables n’ont pas été identifiés.
Les mesures prises
- l’accès de l’entreprise a été coupé ;
- la police enquête avec d’autres autorités ;
- la ministre Christina Egelund, qui qualifie l’incident de très grave, a informé la commission parlementaire compétente et demandé un audit de sécurité approfondi du système CPR ;
- la hotline nationale de cybersécurité a élargi ses horaires pour répondre aux citoyens.
Pourquoi c’est grave
Au Danemark, le numéro CPR est omniprésent et contient la date de naissance de son titulaire. Il ne s’agit pas d’un mot de passe, mais il sert souvent de preuve d’identité implicite au téléphone ou dans des démarches. Couplé au nom et à l’adresse, il permet des escroqueries très crédibles et facilite l’usurpation d’identité.
Pour les administrateurs, la leçon dépasse le Danemark : un accès légitime accordé à un partenaire est une surface d’attaque. Sans limitation de débit ni détection des volumes anormaux, un seul compte suffit à aspirer un registre national.
Le gouvernement danois rappelle de ne jamais communiquer de mot de passe ou d’information confidentielle par téléphone, e-mail ou message, même si votre interlocuteur connaît déjà votre nom, votre adresse et votre numéro CPR.
Que faire si vous êtes concerné
- Si vous avez vécu au Danemark, considérez que votre nom, votre adresse et votre numéro CPR peuvent circuler.
- Méfiez-vous des appels et messages non sollicités qui citent ces informations pour gagner votre confiance.
- Consultez les conseils officiels sur sikkerdigital.dk.