Хакер вскрыл реестр 8,8 млн датчан паролем 123456

Неизвестный хакер почти три недели выкачивал данные из CPR, центрального реестра граждан Дании. Он получил имена, адреса и персональные номера CPR примерно 8,8 млн человек: живых, умерших и уехавших из страны. Вход в реестр шёл через законный доступ небольшой IT-компании Pays ApS из Оденсе. По данным датской газеты Politiken, по меньшей мере три учётные записи компании, включая администраторскую, были защищены паролем 123456.

Номер CPR в Дании работает примерно как ИИН в Казахстане. Он нужен в банке, у врача, в аптеке и в госорганах. Поэтому утечка затронула почти каждого жителя страны.

Как шёл взлом

Доступ начался 10 сентября и продолжался 21 день и 17 часов, до 2 октября. За это время через учётные данные Pays прошло около 14 млн поисковых запросов. В управлении реестра заметили, что это намного больше клиентской базы компании. Сама Pays заявила, что эти запросы не делала. Взлом раскрыли из-за необычно большого счёта: каждый поиск в реестре платный.

Хакер анонимно рассказал Politiken, что начал с утёкшего пароля бывшего сотрудника компании. По его словам, пароль был 123456. Затем он написал две программы, которые забирали данные из реестра и сохраняли их на внешнем сервере. Продавать или публиковать базу он, по его словам, не собирается. Независимо его рассказ не подтверждён.

Гендиректор и владелица Pays Софи Лаурсен назвала компанию жертвой атаки. По данным датского бизнес-реестра, в июле 2026 года в Pays работали два человека. Профессор Орхусского университета Йенс Мюруп Педерсен назвал парольную защиту компании «безнадёжной».

Что делают власти

Дело расследует Национальное подразделение по особо тяжким преступлениям NSK, о нём также сообщили в Агентство по защите данных. Министр цифровизации Кристина Эгелунн признала, что мер безопасности не хватало, и начала полную проверку системы CPR. Нужно ли выдавать людям новые номера, она пока не решила.

Агентство общественной безопасности Samsik заявило, что номер CPR больше нельзя считать достаточным подтверждением личности. Вместо него советуют цифровой ID MitID и одноразовые коды. Аптеки уже ужесточили проверку документов. Число запретов на выдачу кредитов, которые датчане ставят на себя для защиты, выросло с 250 тысяч 1 октября до 970 тысяч 7 октября.

Следующий шаг за правительством: от итогов проверки зависит, получат ли датчане новые номера CPR и сократится ли доступ компаний к реестру. Конфедерация датской промышленности уже предупредила, что ограничения поднимут расходы бизнеса.

Источники: The Copenhagen Post — взлом реестра CPR и пароль 123456