Đan Mạch ghi nhận truy cập trái phép dữ liệu CPR của 8,8 triệu người
"Unauthorized parties accessed Denmark's Central Person Register (CPR) through a private company account, exposing names, addresses, and personal identification numbers for about 8.8 million people over roughly 10 days in September. The access was stopped, the company account was disabled, and the case was reported to Datatilsynet and police; no CVE is involved, and the stated response focuses on investigation and tighter safeguards rather than a software patch."
Rò rỉ dữ liệu định danh quy mô lớn có thể hỗ trợ lừa đảo, mạo danh và tấn công xã hội. Sự cố cho thấy rủi ro từ tài khoản bên thứ ba và truy vấn tự động nếu thiếu kiểm soát.
Tác động vận hành chủ yếu nằm ở điều tra, siết quyền truy cập và tăng giám sát. Doanh nghiệp có thể phải rà soát quy trình xác minh danh tính và chịu áp lực tuân thủ cao hơn.
Bộ số hóa Đan Mạch cho biết các bên không được phép đã truy cập Central Person Register (CPR) thông qua tài khoản của một công ty tư nhân, làm lộ tên, địa chỉ và số định danh cá nhân của khoảng 8,8 triệu người trong gần 10 ngày vào tháng 9. Cơ quan quản lý đã chặn tài khoản, báo cáo vụ việc cho Datatilsynet và cảnh sát; hiện chưa có dấu hiệu đây là sự cố liên quan đến CVE hay lỗ hổng phần mềm cụ thể, mà là vấn đề kiểm soát truy cập và giám sát bất thường.
Theo thông tin công bố, hoạt động truy vấn tự động quy mô lớn đã được dùng để xác định các số CPR hợp lệ. Vụ việc chưa được đánh giá cuối cùng và vẫn còn các câu hỏi về cách kẻ tấn công vào được hệ thống của công ty, dữ liệu có bị lưu giữ hay sử dụng hay không, và danh tính của đối tượng liên quan.
Các tổ chức nên rà soát quyền truy cập dữ liệu, áp dụng xác thực mạnh, giới hạn truy vấn tự động, và tăng giám sát nhật ký. Người dân được khuyến nghị cảnh giác với tin nhắn/cuộc gọi/email bất thường, không cung cấp MitID, mã một lần hay mật khẩu, và cân nhắc thiết lập credit warning trên borger.dk.