Une cyberattaque majeure a compromis le registre national danois, exposant des informations sensibles de 8,8 millions d’individus. Les autorités qualifient cet incident d’extrêmement grave. L’intrusion est survenue via l’exploitation d’un accès légitime, soulignant un risque de sécurité informatique croissant.
Une cyberattaque a touché le registre national du Danemark et a permis un accès non autorisé aux données personnelles d’environ 8,8 millions de personnes. Parmi les informations potentiellement compromises figurent les noms, adresses et numéros CPR (l’équivalent des numéros de sécurité sociale).
Les autorités danoises ont confirmé l’incident lundi, décrivant la situation comme extrêmement grave. L’enquête est en cours et, pour le moment, les responsables de l’attaque n’ont pas été identifiés.
L’attaque a exploité un accès légitime d’entreprise
Selon les autorités, les attaquants n’auraient pas pénétré directement le système via une faille conventionnelle. Ils ont plutôt abusé d’un accès légitime accordé à une entreprise danoise autorisée à consulter les informations du système CPR.
Cet accès a depuis été révoqué. Les circonstances qui ont permis à des tiers d’utiliser cette connexion autorisée pour obtenir les données de millions de personnes sont actuellement analysées.
Les autorités ont détecté une activité anormale dans le système au cours du mois de septembre. L’administration du CPR a été alertée vendredi dernier et a pu, durant le week-end, déterminer le volume approximatif des données consultées.
Les données de près de 9 millions de personnes
Le CPR (Registre Central des Personnes) est le registre central de la population danoise. Il contient aujourd’hui des informations relatives à environ 11 millions de personnes. Le système inclut non seulement les citoyens résidant actuellement dans le pays, mais aussi les personnes ayant émigré et celles décédées.
L’intrusion a permis l’accès aux données suivantes :
- Noms ;
- Adresses ;
- Numéros CPR ;
- Autres données disponibles via le système.
Selon les autorités danoises, les personnes bénéficiant d’une protection spéciale de leur nom et de leur adresse n’auraient pas été affectées concernant ces informations.
L’enquête est toujours en cours
Les autorités danoises ont déjà interrompu l’accès de l’entreprise impliquée. Elles collaborent avec des experts pour comprendre précisément comment l’incident s’est produit.
Le cas a été signalé à l’autorité danoise de protection des données et fait l’objet d’une enquête policière. Des mesures de sécurité supplémentaires ont été mises en œuvre pour empêcher la répétition d’une situation similaire.
La ministre danoise Christina Egelund a qualifié l’incident d’« extrêmement grave ». Elle a assuré que l’ampleur totale de la fuite d’informations était en cours d’évaluation.
Cet événement illustre un des risques de plus en plus présents en cybersécurité : un attaquant n’a pas forcément besoin de compromettre directement un système pour obtenir de grandes quantités de données. L’abus d’identifiants, d’accès légitimes ou de systèmes tiers peut permettre des attaques d’une ampleur considérable.