Ongeautoriseerde partijen hebben toegang gekregen tot de namen, adressen en persoonlijke identificatienummers van ongeveer 8,8 miljoen mensen, levend en dood, in het nationale bevolkingsregister van Denemarken, zei het ministerie van Digitalisering van het land op 5 oktober.
Ze maakten gebruik van het wettelijke recht van een particulier Deens bedrijf om gegevens op te zoeken in het Centraal Personenregister (CPR). Het ministerie heeft mensen opgedragen nooit wachtwoorden of andere vertrouwelijke informatie te geven aan iemand die belt of e-mailt, zelfs niet aan iemand die die details lijkt te kennen.
De administratie van het register heeft de toegang van het bedrijf stopgezet en de zaak gemeld bij Datatilsynet, de Deense gegevensbeschermingsautoriteit. De politie doet onderzoek.
Er werd een zeer groot aantal geautomatiseerde zoekopdrachten in het register uitgevoerd om geldige persoonlijke identificatienummers te identificeren, ook wel CPR-nummers genoemd, zei Datatilsynet in een bericht op 5 oktober. Het account is afkomstig van de melding die het een dag eerder van het register ontving. Zij heeft de zaak nog niet beoordeeld en beschrijft de cijfers als zouden ze zijn teruggevonden.
De toegang duurde in september ongeveer tien dagen en verliep via een klein Deens bedrijf, aldus Christina Egelund, de minister verantwoordelijk voor digitalisering, die sprak met persbureau Ritzau. Een medewerker van de registeradministratie merkte de ongebruikelijke activiteit op vrijdag 2 oktober op. In het weekend vernam de administratie om hoeveel personen de administratie ging.
De officiële verklaringen laten drie vragen open: hoe de ongeautoriseerde partijen toegang hebben gekregen tot de systemen van het bedrijf, of ze de gegevens hebben bewaard of gebruikt, en wie ze zijn.
Wie is gedekt
Het cijfer van 8,8 miljoen is van het ministerie en is nog niet definitief. Het telt geregistreerde mensen: levende inwoners, mensen die naar het buitenland zijn verhuisd, de doden en anderen. Het register bevat in totaal ongeveer 11 miljoen mensen, wat betekent dat de toegang ongeveer 4 op de 5 van hen omvatte.
Sinds 1968 registreert het register iedereen die in Denemarken woont of heeft gewoond. Volgens Statistics Denmark telde Denemarken begin 2025 iets minder dan 6 miljoen inwoners.
De toegang bleef binnen de gegevens die particuliere bedrijven mogen ontvangen, en omvatte niet de namen en adressen van mensen die geregistreerd zijn met NAW-bescherming, aldus het ministerie. Deze status verhindert in de meeste gevallen dat het register de naam en het adres van een persoon bekendmaakt aan particuliere bedrijven of individuen.
In de verklaring van het ministerie wordt niet vermeld of de CPR-cijfers van deze mensen zijn bereikt, en of iemand individueel te horen krijgt dat zij tot de 8,8 miljoen behoren.
Wat mensen met een reanimatienummer kunnen doen
Het ministerie wijst mensen op de adviessite sikkerdigital.dk, waarop vier stappen staan om fraude tegen te gaan:
- Wees extra alert op onverwachte sms-berichten, telefoontjes en e-mails waarin de afzender gegevens over u gebruikt.
- Klik niet op links in onverwachte berichten. Ga zelf naar de officiële website of bel het hoofdnummer van de afzender om dit te controleren.
- Deel nooit MitID-gegevens, eenmalige codes, wachtwoorden of kaartgegevens.
- Stel een kredietwaarschuwing in op borger.dk.
De Cyberhotline voor digitale veiligheid, een door de overheid beheerde hulplijn op +45 33 37 00 37, kan u bij deze stappen helpen. Het heeft langere openingstijden, van 8.00 uur tot middernacht, in de dagen na de aankondiging.
Een kredietwaarschuwing is een markering in de CPR die aangeeft dat de houder wil dat bedrijven worden gewaarschuwd tegen het verstrekken van leningen of kredieten op hun naam. Het werkt als een signaal. Bedrijven die ervoor kiezen om het te ontvangen, worden gevraagd extra voorzichtig te zijn bij het controleren van de identiteit voordat ze, volgens borger.dk, de site waarop de markering is geplaatst, uitlenen.
Een nieuwe marker wordt meteen geregistreerd, maar het kan enkele dagen duren voordat deze de systemen van bedrijven bereikt. Iedereen van 15 jaar of ouder kan er een instellen, en dit kan het moeilijker maken om de leningaanvragen van de houder goed te keuren totdat deze wordt verwijderd.
Een CPR-nummer helpt een persoon te identificeren, maar mag volgens de officiële richtlijnen van het register niet als het enige identiteitsbewijs worden gebruikt.
Hoe bedrijven toegang krijgen tot het register
Volgens de tekst uit 2023 van de Deense CPR-wet kunnen bedrijven registergegevens laten aanleveren over mensen die ze al één voor één hebben geïdentificeerd. Alleen al een CPR-nummer is voldoende om een persoon daartoe te identificeren.
De gegevens die ze kunnen ontvangen omvatten de huidige naam en het adres van een persoon, tenzij beschermd, en details zoals een overlijden, een verhuizing naar het buitenland of een kredietwaarschuwing. Het CPR-nummer zelf staat niet op die lijst.
Een reanimatienummer bestaat uit 10 cijfers: 6 voor de geboortedatum en 4 seriële cijfers, waarvan de laatste even is voor vrouwen en oneven voor mannen.
Volgens de rekenkunde van The Hacker News staat dat formaat maximaal 10.000 mogelijke getallen toe voor elke geboortedatum. In het bericht van Datatilsynet staat dat de zoekopdrachten zijn uitgevoerd om geldige nummers te identificeren, maar noch het rapport, noch de verklaring van het ministerie zegt of deze mogelijkheden zijn benut.
Volgens de richtlijnen van het register mogen bedrijven alleen gegevens krijgen over mensen waarmee ze al te maken hebben, zoals klanten of werknemers. In de officiële verklaringen wordt niet uitgelegd hoe de toegang van één bedrijf op grond van deze regels ongeveer vier op de vijf mensen in het register betrof.
Volgens de wet stelt het ministerie dat verantwoordelijk is voor het register de voorwaarden voor toegang van bedrijven vast, inclusief veiligheidsmaatregelen.
Egelund vertelde Ritzau dat de beveiliging rond dit soort toegang niet solide genoeg was geweest, en was het ermee eens dat er alarmen hadden moeten afgaan gezien de lange duur ervan.
Wat gebeurt er daarna
Het ministerie is begonnen met maatregelen om herhaling te voorkomen, waar de verklaring niet in detail op ingaat, en de minister heeft verzocht om een volledig veiligheidsonderzoek van het register.
Datatilsynet onderzoekt wat er is gebeurd, hoe het heeft kunnen gebeuren en wie verantwoordelijk is voor de omgang met de persoonsgegevens.
Egelund vertelde Ritzau dat het te vroeg was om te zeggen of mensen nieuwe reanimatienummers nodig hebben. De wet staat al een nieuw nummer toe in bijzondere gevallen waarin iemands nummer is misbruikt.
