Au Danemark, des attaquants ont récupéré les noms, adresses et numéros d’identité de 8,8 millions de personnes. Ils n’ont exploité aucune faille logicielle : ils ont utilisé l’accès légitime d’une entreprise privée au registre national. Un cas d’école sur le risque fournisseur et sur la surveillance des usages « normaux ».
Mis à jour le 12 octobre 2026 : selon les responsables danois cités par TV 2 et repris par The Next Web, 6 octobre 2026, le compte de l’entreprise a lancé plus de 14 millions de recherches en une dizaine de jours, et l’anomalie a été repérée au moment de facturer ces recherches. À cette date, la police n’avait identifié ni mis en cause personne.
Ce qui s’est passé
Le 5 octobre 2026, le ministère danois chargé du numérique a annoncé un incident grave sur le CPR, le registre central des personnes. Ce registre contient environ 11 millions de fiches : résidents, personnes parties à l’étranger et personnes décédées. Environ 8,8 millions de fiches sont concernées, soit près de 80 % du registre (BleepingComputer). Les personnes qui bénéficient d’une protection de leur nom et de leur adresse ne seraient pas touchées.
Les faits datent de septembre. L’administration du registre s’en est rendu compte le vendredi 2 octobre au soir (The Copenhagen Post / Ritzau). L’accès de l’entreprise a été coupé, la police enquête et l’autorité danoise de protection des données a été prévenue le dimanche 4 octobre. L’entreprise n’a pas été nommée.
Comment l’attaque a fonctionné
Au Danemark, les entreprises qui ont un intérêt légitime peuvent consulter le registre, et paient chaque recherche. Les attaquants ont détourné cet accès. Selon l’autorité de protection des données citée par BleepingComputer, ils ont procédé par « force brute » : tester en masse des numéros d’identité pour trouver ceux qui existent, puis récupérer les informations associées.
Selon les chiffres donnés en conférence de presse, sur plus de 14 millions de tentatives, 8,8 millions ont renvoyé une fiche. Ce n’est pas un système d’alerte qui a donné l’alarme : c’est le montant, très élevé, de la facture adressée à l’entreprise pour ses recherches de septembre (The Next Web).
Le numéro d’identité danois sert partout : santé, banque, impôts, services publics. Contrairement à un mot de passe, on ne peut pas le changer facilement. L’agence danoise de sécurité civile a d’ailleurs demandé aux entreprises et administrations de ne plus accepter ce numéro seul comme preuve d’identité. Le principal danger est désormais l’hameçonnage très crédible : un escroc qui connaît votre nom, votre adresse et votre numéro paraît légitime.
Ce qu’on ne sait pas encore
On ne sait pas comment l’accès de l’entreprise a été détourné : piratage, identifiants volés ou acte interne. On ne sait pas non plus qui est derrière l’attaque, ni ce que les données vont devenir. La ministre a demandé une revue complète de la sécurité du registre, sans échéance annoncée.
Ce que ça change pour une PME
- Un accès donné à un partenaire est un accès à part entière. Limitez-le au strict besoin (quelles données, combien, pour quoi faire), revoyez-le régulièrement et protégez-le comme vos propres comptes.
- Surveillez les volumes, pas seulement les droits. Un partenaire qui consulte d’habitude quelques centaines de fiches et soudain des millions doit déclencher une alerte. Une limite du nombre de requêtes par jour est une mesure simple. Ici, c’est la facture qui a parlé, une fois les faits terminés : vos compteurs de consommation (API, outils en ligne) peuvent servir de signal d’alerte.
- Ne considérez jamais une donnée d’identité comme une preuve. Un appelant qui connaît le nom, l’adresse ou le numéro de sécurité sociale d’un client ou d’un salarié n’est pas forcément de confiance. Rappelez sur un numéro officiel connu.
- Prévoyez dans vos contrats l’obligation pour vos fournisseurs de vous prévenir rapidement en cas d’incident sur leurs comptes, dans un délai compatible avec vos propres obligations RGPD (72 heures).
Dossier : Fournisseurs et sous-traitants
Cet article prolonge notre bulletin de veille du 6 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.