اختراق سجل السكان CPR في الدنمارك: كشف بيانات 8.8 مليون شخص عبر صلاحية شركة خاصة

كيف كشف اتصال قانوني بيانات 8.8 مليون شخص

كشفت السلطات الدنماركية في 5 أكتوبر 2026 أن المتسللين لم يحتاجوا إلى كسر قاعدة البيانات المركزية لسجل السكان الوطني لاستخراج معظم محتوياتها. فبدلاً من ذلك، وبحسب موقع Help Net Security، أساء المهاجمون استخدام صلاحية وصول مصرّح بها لشركة دنماركية خاصة للاستعلام من السجل، وقد أُلغيت صلاحية وصول تلك الشركة منذ ذلك الحين.

أدى الاختراق إلى كشف المعلومات الشخصية لنحو 8.8 مليون شخص، من بينهم مقيمون أحياء وأشخاص متوفون ومواطنون انتقلوا للعيش في الخارج. ولأن السجل يضم نحو 11 مليون سجل، فإن قرابة 80% من قاعدة البيانات قد تأثرت. وكما يوضح موقع The Local Denmark، فإن عدد سكان الدنمارك يبلغ نحو 6 مليون نسمة بينما يضم السجل قرابة 11 مليون فرد مسجل عند احتساب السجلات التاريخية والمقيمين السابقين.

وعلم المسؤولون بالنشاط غير الطبيعي يوم الجمعة 2 أكتوبر 2026، وأبلغوا هيئة حماية البيانات الدنماركية (Datatilsynet) يوم الأحد 4 أكتوبر، ثم أعلنت الوزارة عن الحادثة في 5 أكتوبر. غير أن التسلل استمر لفترة أطول من عطلة نهاية أسبوع واحدة؛ إذ يفيد موقع The Local Denmark بأن القراصنة احتفظوا بالوصول لمدة 10 أيام في سبتمبر، ووصف أستاذ في الأمن السيبراني الواقعة بأنها «ربما تكون أكبر خرق أمني على الإطلاق» في البلاد.

ما الذي تسرّب وكيف يتتبع المحققون المصدر

شملت الحقول المكشوفة الأسماء والعناوين وأرقام CPR، مع إشارة Help Net Security إلى أن الأشخاص المسجلين في نظام حماية الاسم والعنوان لم يتأثروا. وذكر موقع Computing أن الحادثة تُعامل بوصفها بالغة الخطورة، وأن الوزارة حذرت من أن البيانات قد تغذي عمليات احتيال وأطلقت مبادرات لمنع تكرار حوادث مماثلة.

ووصفت الوزيرة كريستينا إيغلوند الاختراق بأنه «حادثة خطيرة للغاية»، وقالت إنها طلبت إجراء مراجعة أمنية شاملة لنظام CPR. وعندما سُئلت عما إذا كان المتضررون سيحصلون على أرقام CPR جديدة، قالت الوزيرة إنه لا يزال من المبكر جداً الجزم بذلك.

وعلى الصعيد الجنائي، تحقق الشرطة في الاختراق. وبحسب The Local Denmark، فإن سجل الأمان الخاص بالسجل، والذي يُحفظ لمدة ستة أشهر، ينبغي أن يُظهر أي شركة أجرت عمليات البحث التي سحبت تلك السجلات.

ماذا يعني هذا للهوية الرقمية وبنية الحكومة الإلكترونية

تحمل الحادثة الدنماركية درساً غير مباشر لكنه مهم لفرق التكنولوجيا في القطاع العام بالجزائر. لا تتعلق أي من المصادر بأنظمة جزائرية، غير أن أي سجل وطني أو بوابة حكومة إلكترونية تمنح صلاحيات استعلام لشركاء خارجيين تواجه الخطر البنيوي ذاته: فمحيط الأمان يمتد إلى أضعف طرف خارجي يملك صلاحية دخول. وتبرز هنا ثلاث ضوابط معمارية من وقائع الحادثة.

1. فرض حدود صارمة لمعدل الاستعلام وحجم السحب على الأطراف الثالثة

لكي يتمكن اتصال خاص بشركة مصرّح لها من سحب 8.8 مليون سجل من أصل قرابة 11 مليون خلال 10 أيام في سبتمبر، لا بد أن الواجهة كانت تسمح باستخراج كميات ضخمة تتجاوز بكثير عمليات التحقق الفردية المعتادة. لذلك ينبغي لأي بوابة استعلام مرتبطة بسجل مدني أو قاعدة عملاء أن تفرض سقوفاً يومية صارمة وإيقافاً تلقائياً عند ارتفاع وتيرة البحث.

2. فصل مستويات البيانات الحساسة عن عمليات التحقق التجارية الروتينية

في الدنمارك، لم يتأثر الأشخاص المسجلون في خدمة حماية الاسم والعنوان بعمليات الاستعلام. ويُظهر هذا التفصيل قيمة تقسيم السجلات وتقييد ما يمكن لحساب تجاري عادي استرجاعه، بدلاً من كشف بيانات الهوية الكاملة لكل شريك يملك صلاحية وصول.

3. دمج سجلات التدقيق الممتدة لستة أشهر مع كشف الشذوذ الفوري

يحتفظ السجل الدنماركي بسجل أمان لمدة ستة أشهر يُفترض أن يحدد الشركة التي نفذت عمليات البحث، وهو ما يساعد الشرطة بعد وقوع الحادثة. غير أن المسؤولين لم يعلموا بالنشاط غير الطبيعي إلا في 2 أكتوبر بعد 10 أيام من الوصول في سبتمبر. لذا تحتاج سجلات التدقيق إلى تنبيهات فورية تقطع الاتصال تلقائياً فور ظهور أنماط سحب غير معتادة.

الدرس البنيوي

يصعب استبدال أرقام الهوية الوطنية بعد انكشافها، ولهذا أشارت الوزيرة كريستينا إيغلوند إلى أنه لا يزال من المبكر معرفة ما إذا كان المواطنون سيحصلون على أرقام CPR جديدة. وعندما يعتمد كل من الإدارة العامة والتحقق في القطاع الخاص على معرّف واحد، تتحول بوابات الاستعلام المخصصة للأطراف الثالثة إلى هدف بالغ الحساسية.

والخلاصة القادمة من كوبنهاغن واضحة: تأمين قاعدة البيانات المركزية ليس سوى نصف المهمة؛ أما النصف الآخر فهو إخضاع كل شركة خاصة أو شريك يتمتع بوصول مشروع لقيود صارمة على عدد الاستعلامات، وتقليص الحقول المكشوفة، وتفعيل قواطع آلية فورية.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• Denmark’s national population register breached, 8.8 million people exposed — Help Net Security
• Explained: What you need to know about the Danish CPR hack — The Local Denmark
• Denmark investigates extremely serious breach of national population register — Computing