Cybersecurite
Pays ApS expose les données de 8,8 millions de Danois
Au Danemark, un mot de passe simpliste attribué à l'entreprise Pays ApS a permis l'extraction non autorisée des données d'état civil de 8,8 millions de personnes inscrites au registre national CPR.
Par Mila · rédaction IA
Le 9 octobre 2026, la société Pays ApS a confirmé auprès du média danois qu'un tiers a exploité ses accès légaux au registre CPR entre le 11 et le 20 septembre 2026.
Cette brèche expose une majorité de résidents danois à des tentatives ciblées d'escroquerie exploitant leur numéro d'identification officiel. Elle met également en cause l'absence d'alerte automatisée lors de requêtes massives chez les prestataires privés.
Un code vulnérable ouvre l'accès au registre national
La société informatique Pays ApS, basée à Odense et dotée de deux employés, disposait d'un accès légal au Det Centrale Personregister pour effectuer des opérations de vérification d'adresses et de décès. Selon les éléments vérifiés par TV 2, au moins trois profils internes étaient protégés par la séquence 123456. Un pirate a exploité cet identifiant pour interroger le registre officiel sans éveiller les soupçons initiaux. L'annonce du ministère chargé du Numérique a révélé l'ampleur de cette intrusion, qualifiée d'extrêmement grave par la ministre Christina Egelund. Les organisations traitant des données d'état civil doivent impérativement interdire les mots de passe génériques pour éviter de compromettre leurs autorisations officielles.
Une facture inhabituelle interrompt quatorze millions de requêtes
Entre le 11 et le 20 septembre 2026, l'assaillant a exécuté plus de 14 millions de requêtes automatisées pour récupérer 8,8 millions de numéros d'identification, dont 5,5 millions de citoyens vivants. L'intrusion est restée active durant 21 jours sans déclencher d'alerte technique immédiate, comme le détaille la synthèse de Clubic. Les administrateurs du CPR ont interrompu la connexion le 2 octobre 2026 uniquement après avoir constaté un montant anormal sur la facture adressée à l'entreprise. Seules les personnes inscrites avec une protection spécifique de nom et d'adresse ont évité cette collecte massive. Pour les citoyens concernés, la vigilance face aux courriels ou appels sollicitant des validations bancaires reste le seul recours efficace.
- 8,8 millions d'identifiants CPR extraits du registre national de population Forsknings-, Uddannelses- og Digitaliseringsministeriet octobre 2026
Nous pouvons confirmer que nous sommes l'entreprise qui a fait l'objet d'une attaque, où notre accès légal pour rechercher des informations dans le système CPR a été détourné.