Mis à jour : le compte de l’entreprise a lancé plus de 14 millions de recherches en une dizaine de jours, et l’anomalie a été repérée au moment de facturer ces recherches ; à cette date, la police n’avait identifié ni mis en cause personne, selon les responsables danois cités par TV 2 et repris par The Next Web, 6 octobre 2026.
Au Danemark, les données de 8,8 millions de personnes ont été extraites du registre national de la population, sans aucune vulnérabilité logicielle : l’attaque repose sur l’abus de l’accès légitime d’une entreprise privée. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, détection, questions d’audit ISO 27001 et pistes de sensibilisation. Les détails techniques publics sont minces et aucune source technique de première main (rapport d’enquête) n’est disponible : nous nous en tenons à ce que disent les sources.
Pour une lecture orientée dirigeant, voir notre décryptage « Danemark : 8,8 millions d’identités volées sans aucune faille technique ».
Contexte
- Victime : le CPR (Det Centrale Personregister), registre national de la population au Danemark, sous la responsabilité du ministère de la Recherche, de l’Éducation et du Numérique.
- Secteur : administration publique, identité nationale.
- Date : faits en septembre 2026 ; détection le vendredi 2 octobre au soir ; notification à l’autorité de protection des données (Datatilsynet) le dimanche 4 octobre ; annonce publique le lundi 5 octobre (The Copenhagen Post).
- Type : vol de données par abus d’un accès tiers légitime et énumération automatisée.
- Ampleur : environ 8,8 millions de personnes sur environ 11 millions enregistrées (vivants, émigrés, décédés). Données : noms, adresses, numéros CPR et « autres informations » du registre. Le registre peut contenir l’état civil, les liens familiaux, l’appartenance à l’Église du Danemark ou des mesures de tutelle, mais le ministère n’a pas précisé quels champs ont été consultés pour chaque personne. Les personnes sous protection de nom et d’adresse ne seraient pas concernées selon le premier bilan (The Copenhagen Post).
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce que disent les sources | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Vecteur d’entrée | Abus de l’accès légitime d’une entreprise privée danoise autorisée à interroger le CPR. Selon un résumé de presse, les entreprises ayant un intérêt justifié peuvent y accéder (article 38 de la loi CPR) : point non vérifié dans le texte de loi. | T1199 Trusted Relationship ; T1078 Valid Accounts |
| Obtention de l’accès | Inconnue. BleepingComputer a posé la question, sans réponse. On ne sait pas si l’entreprise a été piratée, si un identifiant a été volé ou s’il s’agit d’un acte interne. | Non déterminable |
| Collecte | « Un très grand nombre de recherches automatisées » pour trouver des numéros CPR valides, puis extraction des données liées (Datatilsynet, cité par BleepingComputer). | T1119 Automated Collection ; T1213 Data from Information Repositories |
| Exfiltration | Non documentée (canal, volume, destination). | – |
| Impact | Exposition de données d’identité permanentes ; risque d’usurpation et d’hameçonnage ciblé. | T1589 Gather Victim Identity Information (pour les attaques suivantes) |
La colonne MITRE est une lecture de notre part : elle n’est fournie par aucune des sources.
Faits techniques à retenir
Le numéro CPR danois a une structure connue (date de naissance suivie de quatre chiffres). Cela rend l’énumération réaliste. Ce lien entre la structure du numéro et la facilité de l’énumération est notre analyse : il n’est pas affirmé par les sources consultées.
Ce qu’on ne sait pas
Comment l’accès de l’entreprise a été obtenu, qui est derrière l’attaque, quels champs ont été consultés pour chaque personne, et par quel canal les données sont sorties.
Détection : plusieurs semaines sans alerte
- Le ministère indique que l’administration du CPR a constaté le 2 octobre au soir un « comportement irrégulier » ayant eu lieu en septembre (IT Security Guru, traduction du communiqué).
- Comment l’anomalie a été repérée n’était pas public au moment de l’annonce. Depuis, les responsables danois indiquent qu’elle a été repérée au moment de facturer les recherches (voir la mise à jour en tête).
- Ce qui est clair : plusieurs semaines entre le début des faits et la détection. Le volume en cause (des millions de requêtes) laisse penser que l’activité n’était pas comparée à un comportement habituel du partenaire, ou que les seuils d’alerte n’étaient pas adaptés. C’est une hypothèse de notre part, pas un fait établi.
- Côté réponse : l’accès a été coupé, le périmètre évalué en un week-end, l’autorité de protection des données notifiée environ 48 heures après la découverte, une ligne d’aide a été ouverte et une revue de sécurité complète du CPR a été demandée par la ministre.
Questions d’audit ISO 27001:2022
- A.5.19 et A.5.20 (sécurité dans les relations fournisseurs et dans les accords) : « Pour chaque tiers qui a un accès direct à vos données (API, extraction, portail), le contrat précise-t-il le volume et l’usage autorisés ? Ces limites sont-elles appliquées techniquement, ou seulement écrites ? »
- A.8.16 (activités de surveillance) : « Avez-vous défini un comportement normal pour chaque accès partenaire ou compte technique (volume par jour, horaires, type de requêtes) ? Montrez-moi l’alerte qui se déclencherait si un partenaire consultait 100 fois plus de fiches que d’habitude. »
- A.8.3 (restriction d’accès à l’information) : « Un tiers peut-il interroger n’importe quel identifiant, ou seulement ceux liés à son activité (ses clients, ses dossiers) ? Existe-t-il une limite de débit (rate limiting) sur les interfaces d’interrogation ? »
- A.5.22 et A.5.24 (surveillance, revue et gestion des changements des services fournisseurs ; planification et préparation de la gestion des incidents) : « Le fournisseur est-il tenu de vous prévenir d’une compromission de ses comptes dans un délai défini ? Ce délai est-il compatible avec vos propres obligations (72 heures RGPD) ? »
Pistes de sensibilisation
- Atelier « Ouvrir un accès à un partenaire » (équipes métier et achats) : partir du cas CPR et faire lister, ensemble, les questions à poser avant d’ouvrir un accès : quelles données, combien, pour quoi faire, qui surveille, comment on coupe.
- Module court « L’appelant connaît mon nom, mon adresse et mon numéro : est-il fiable ? » (collaborateurs) : réponse : non. Avec des données d’identité volées en masse, les escrocs paraissent légitimes. Seul un rappel via un numéro officiel connu permet de vérifier.
À lire aussi : notre décryptage pour les dirigeants, « Danemark : 8,8 millions d’identités volées sans aucune faille technique », et le bulletin de veille du 6 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.