Contexte et portée
En septembre 2026, des hackers ont pénétré le Central Person Register (CPR) du Danemark et ont extrait les données de 8 millions de citoyens et résidents. Le registre, qui recense environ 11 millions de personnes – incluant les habitants à l’étranger et les décédés – stocke depuis plusieurs décennies des informations d’identité, adresses et numéros de sécurité sociale. La fuite a été détectée le 2 octobre, ce qui place l’incident parmi les plus importants de l’histoire du pays.
Mécanismes d’accès au CPR
Le CPR est accessible aux administrations publiques et à un nombre limité d’entreprises privées autorisées à vérifier l’identité des usagers. Ces tiers bénéficient d’un accès « lawful » via des API sécurisées, généralement protégées par authentification forte et journalisation des requêtes. La politique d’accès repose sur le principe du moindre privilège, mais les spécifications publiques ne détaillent pas les contrôles de segmentation ni les limites de requêtes par entité.
Analyse de la faille d’abus d’accès légitime
Selon le communiqué du ministre Christina Egelund, les hackers ont exploité « l’accès légitime d’une société danoise au CPR » pour extraire massivement les enregistrements. Cette technique, souvent qualifiée d’escalade de privilèges interne, contourne les protections externes en utilisant des identifiants valides. Le volume des requêtes (8 millions de lignes) indique une automatisation probable, suggérant l’usage d’un script capable de paginer les réponses API sans déclencher d’alarmes de seuil. L’absence de détection jusqu’au 2 octobre révèle soit une configuration de seuil de déclenchement trop élevée, soit un manque de corrélation entre les logs d’accès et les modèles de comportement normal.
Conséquences et mesures d’atténuation
Le vol expose des données sensibles protégées par le RGPD, ouvrant la porte à des usurpations d’identité et à des campagnes de phishing ciblées. Le gouvernement a annoncé une révision des droits d’accès des tiers, incluant la mise en place de quotas de requêtes, de contrôles d’anomalies basés sur l’apprentissage automatique et d’audits de conformité plus fréquents. En parallèle, les organisations concernées devront notifier les personnes affectées et renforcer leurs propres processus de vérification d’identité pour limiter les abus futurs. L’incident rappelle que la sécurisation des bases d’identité nationales ne dépend pas uniquement du périmètre externe, mais aussi de la gouvernance des accès internes.
