COPENHAGUE, DANEMARK / RankWire.AI / – L'Agence danoise de protection des données ( Datatilsynet ) enquête actuellement sur une importante faille de sécurité concernant le Registre central des personnes (CPR) du pays. Un accès non autorisé aux données personnelles d'environ 8,8 millions d'individus a été confirmé. Les informations compromises comprennent les noms, adresses, numéros CPR et autres données connexes. Les autorités ont expliqué que les auteurs de l'attaque ont utilisé un accès légitime accordé à une société privée danoise pour consulter le système du CPR. Dans le cadre de l'enquête, l'administration du CPR a suspendu l'accès de la société le temps que les autorités déterminent les circonstances de l'intrusion.
L'incident a été détecté par l'administration du Registre central des personnes (RCP) le soir du 2 octobre, suite à une activité de recherche inhabituelle constatée en septembre. Durant le week-end, les autorités ont examiné l'activité et confirmé l'ampleur de la consultation non autorisée des données. Le RCP comprend environ 11 millions d'enregistrements, concernant les résidents actuels, les personnes ayant déménagé à l'étranger et les personnes décédées. Les responsables ont souligné que les recherches effectuées restaient dans le cadre des informations auxquelles les entreprises privées sont autorisées à accéder via les services agréés du RCP.
Aucun suspect n'a été identifié à ce stade et les autorités danoises n'ont pas divulgué le nom de l'entreprise privée concernée. L'administration du CPR a signalé la violation à Datatilsynet et la police mène l'enquête en collaboration avec d'autres autorités compétentes. Le gouvernement a déclaré que son examen n'a révélé aucune divulgation de noms et d'adresses appartenant à des personnes inscrites au système danois de protection des noms et adresses.
L'organisme de réglementation examine les recherches automatisées au sein du système CPR.
L'autorité de régulation des données (Datatilsynet) a annoncé avoir reçu le 4 octobre un signalement de violation de données provenant du registre CPR. Elle a souligné que l'incident impliquait un très grand nombre de recherches automatisées ciblant le système CPR. Selon la notification, ces recherches visaient à vérifier la validité des numéros CPR. Datatilsynet enquête actuellement sur les circonstances de la violation, les méthodes d'accès utilisées et les parties responsables du traitement des données concernées. L'agence a assuré que de plus amples informations seront communiquées dès que possible.
La ministre de la Recherche, de l'Éducation et de la Numérisation, Christina Egelund, a qualifié l'incident de très grave et en a informé la commission des Affaires économiques et numériques du Parlement danois. Elle a également ordonné un audit de sécurité complet du système CPR. Le gouvernement a pris des mesures visant à prévenir de telles intrusions à l'avenir, tandis que l'administration du CPR poursuit son enquête pour reconstituer le déroulement des événements. Les autorités ont précisé que l'enquête n'en est qu'à ses débuts et que des analyses techniques pourraient apporter des précisions supplémentaires.
Le public est invité à rester vigilant face aux tentatives d'escroquerie.
Les autorités danoises ont exhorté les résidents à la vigilance face aux appels, courriels et autres messages frauduleux susceptibles d'exploiter des informations personnelles compromises. Elles ont insisté sur le fait qu'il ne faut jamais divulguer ses mots de passe ni ses données confidentielles, même si l'appelant ou l'expéditeur semble connaître son nom, son adresse ou son numéro d'identification national. Le gouvernement a invité les citoyens à consulter les ressources officielles en matière de sécurité numérique et à contacter la ligne d'assistance téléphonique danoise dédiée à la cybersécurité. Cet avertissement fait suite à la confirmation que l'activité non autorisée concernait les données de millions de personnes inscrites au registre national de la population.
Les autorités poursuivent leur évaluation du mode d'accès, des données concernées et des garanties encadrant l'utilisation du système CPR par le secteur privé. Parallèlement, Datatilsynet examine les conséquences de cet incident sur la protection des données. L'administration du CPR a suspendu l'accès de l'entreprise et mis en œuvre des mesures de sécurité, tandis que les responsables mènent un examen plus approfondi du registre. Au 7 octobre, les autorités n'avaient pas encore identifié publiquement les auteurs de l'incident, divulgué le nom de l'entreprise ni confirmé la méthode précise utilisée pour abuser de son accès autorisé.
L’article « Les autorités danoises enquêtent sur une violation de données exposant 8,8 millions de dossiers alors que les inquiétudes concernant la sécurité du CPR augmentent » est paru initialement sur Birmingham Beacon .