Danemark : le registre national de la population piraté, 8,8 millions de personnes exposées
Noms, adresses et numéros d'identité : des inconnus ont utilisé l'accès légitime d'une petite entreprise pour aspirer le registre CPR. L'anomalie a été repérée… grâce à une facture.
Mis à jour le 21 octobre 2026
Mise à jour du 21 octobre : la presse danoise révèle que plusieurs comptes du prestataire utilisaient le mot de passe « 123456 ». Toute l’affaire et la leçon à en tirer.
C’est l’une des fuites les plus massives jamais subies par un État européen. Le ministère danois de la Numérisation a annoncé le lundi 5 octobre 2026 que le registre CPR, le fichier national de la population, avait été pillé. 8,8 millions de personnes sont concernées, davantage que la population actuelle du pays : selon la presse, le registre contient aussi des personnes décédées.
Découvert grâce à une facture
L’anomalie a été repérée le 2 octobre au soir, quand une facturation anormalement élevée a été émise à une petite entreprise danoise. Cette entreprise disposait d’un accès légal au registre, limité à la consultation de données sur un groupe précis de personnes.
Des inconnus ont utilisé cet accès pour lancer plus de 14 millions de recherches en dix jours, en septembre. Résultat : 8,8 millions de fiches récupérées.
Quelles données ?
- les noms ;
- les adresses ;
- les numéros CPR, l’équivalent danois d’un numéro d’identité national.
Les personnes bénéficiant d’une protection de leur nom et de leur adresse ne sont pas concernées. Le système de connexion national MitID n’a pas été touché.
La réaction des autorités
- L’accès de l’entreprise a été coupé et la police nationale a saisi des preuves dans ses locaux. Personne n’a encore été identifié ni inculpé.
- La ministre Christina Egelund a ordonné un audit de sécurité du système CPR.
- Les autorités demandent aux entreprises et administrations de ne plus accepter le numéro CPR seul comme preuve d’identité, et mettent en garde contre une vague d’hameçonnage.
La leçon
Pas de faille spectaculaire ici : un accès légitime détourné, et une surveillance qui n’a rien vu pendant dix jours de requêtes massives. Le même scénario que chez SFR ou à la DGFiP cette année. Limiter les droits des comptes partenaires et détecter les volumes de consultation anormaux sont devenus des mesures indispensables.