Fuite du registre CPR au Danemark : 8,8 millions de personnes exposées via un accès tiers

Comment un accès légitime a exposé 8,8 millions de personnes

Les autorités danoises ont révélé le 5 octobre 2026 que des intrus n’avaient pas eu besoin de forcer la base centrale du registre national de la population pour en extraire l’essentiel du contenu. Au lieu de cela, selon Help Net Security, les attaquants ont abusé de l’accès autorisé d’une entreprise privée danoise pour interroger le registre, et l’accès de cette société a depuis été révoqué.

La fuite a exposé les informations personnelles de 8,8 millions de personnes, comprenant des résidents en vie, des personnes décédées et des citoyens ayant déménagé à l’étranger. Comme le registre contient environ 11 millions d’enregistrements, près de 80% de la base est touchée. Ainsi que l’explique The Local Denmark, la population du Danemark est d’environ 6 millions d’habitants tandis que le registre compte environ 11 millions de personnes enregistrées une fois inclus les anciens résidents et les dossiers historiques.

Les responsables ont découvert l’activité irrégulière le vendredi 2 octobre 2026, ont notifié l’Autorité danoise de protection des données (Datatilsynet) le dimanche 4 octobre, et le ministère a rendu l’incident public le 5 octobre. L’intrusion a toutefois duré plus d’un simple week-end : d’après The Local Denmark, les pirates auraient disposé de cet accès pendant 10 jours en septembre, et un professeur de cybersécurité a qualifié l’affaire de « peut-être la plus grande violation de sécurité jamais connue » dans le pays.

Ce qui a fuité et comment l’enquête remonte la piste

Les champs exposés sont les noms, les adresses et les numéros CPR, bien que Help Net Security précise que les personnes inscrites pour la protection de leur nom et de leur adresse n’ont pas été touchées. Computing rapporte que l’incident est jugé extrêmement grave et que le ministère a averti que ces données pouvaient alimenter des fraudes, tout en lançant des initiatives pour prévenir des incidents similaires.

La ministre Christina Egelund a qualifié la fuite d’« incident profondément grave » et a indiqué avoir demandé un examen approfondi de la sécurité du système CPR. Interrogée sur l’attribution éventuelle de nouveaux numéros CPR aux personnes touchées, la ministre a répondu qu’il était encore trop tôt pour le dire.

Sur le volet judiciaire, la police mène l’enquête. Selon The Local Denmark, le journal de sécurité du registre, conservé pendant six mois, devrait montrer quelle entreprise a effectué les recherches ayant permis d’extraire les dossiers.

Ce que cela signifie pour l’identité numérique et l’e-gouvernement

L’incident danois offre un enseignement indirect mais concret aux équipes techniques du secteur public en Algérie. Aucune des sources ne concerne des systèmes algériens, mais tout registre national ou portail d’e-gouvernement qui accorde des droits de requête à des partenaires externes fait face au même risque structurel : le périmètre de sécurité s’étend jusqu’au client autorisé le plus vulnérable. Trois garde-fous architecturaux ressortent des faits.

1. Imposer des plafonds stricts de volume et de fréquence sur les requêtes tierces

Pour qu’une connexion appartenant à une entreprise privée autorisée puisse extraire 8,8 millions de dossiers sur environ 11 millions en l’espace de 10 jours en septembre, l’interface devait tolérer des extractions massives sans rapport avec des vérifications unitaires habituelles. Toute interface reliée à un registre civil ou client doit appliquer des quotas quotidiens stricts et une coupure automatique en cas de pic de requêtes.

2. Séparer les niveaux de consultation sensibles des vérifications commerciales courantes

Au Danemark, les personnes bénéficiant d’une protection de leur nom et de leur adresse n’ont pas été affectées par les requêtes. Ce détail montre l’intérêt de segmenter les dossiers et de restreindre ce qu’un compte partenaire standard peut obtenir, plutôt que d’exposer l’intégralité des champs d’identité à chaque accès externe.

3. Associer les journaux d’audit de six mois à une détection d’anomalies en temps réel

Le registre danois conserve un journal de sécurité de six mois qui devrait permettre d’identifier l’entreprise à l’origine des recherches, ce qui aide la police après coup. Mais les autorités n’ont découvert l’activité anormale que le 2 octobre, après 10 jours d’accès en septembre. La journalisation doit s’accompagner d’alertes en temps réel capables de suspendre un accès dès qu’un comportement d’extraction massive apparaît.

La leçon structurelle

Les numéros d’identité nationaux sont difficiles à remplacer une fois compromis, raison pour laquelle la ministre Christina Egelund a souligné qu’il était encore trop tôt pour dire si les citoyens recevraient de nouveaux numéros CPR. Lorsqu’un identifiant unique sert à la fois à l’administration publique et aux vérifications du secteur privé, les portails de consultation tiers deviennent des surfaces d’attaque de premier plan.

La conclusion venue de Copenhague est claire : sécuriser la base centrale ne représente que la moitié du travail. Chaque entreprise privée ou partenaire disposant d’un accès légitime doit être encadré par des quotas de requêtes stricts, une exposition minimale des champs et des disjoncteurs automatiques.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Denmark’s national population register breached, 8.8 million people exposed — Help Net Security
• Explained: What you need to know about the Danish CPR hack — The Local Denmark
• Denmark investigates extremely serious breach of national population register — Computing