Le Danemark affirme que des attaquants ont pris les données CPR de 8,8 millions de personnes

Le lundi 5 octobre 2026, le ministère danois de la Recherche, de l'Enseignement et de la Numérisation a révélé que des tiers non autorisés avaient obtenu les données d'environ 8,8 millions de personnes issues du registre central des personnes, le CPR. TechCrunch l'a décrit comme la plus grande violation de données de l'histoire danoise. Le registre est la couche d'identité qui sous-tend la vie danoise, et ce qui a été pris, ce sont des noms, des adresses et des numéros CPR.

À lire aussi: La branche japonaise de Sony, fournisseur d'accès, annonce une fuite de 2,6 millions d'enregistrements · Capcom : une intrusion expose 11,7 millions d'enregistrements CAPCOM ID et permet à un attaquant de changer 196 mots de passe.

Le mode d'entrée était banal. Personne n'a déjoué le chiffrement ni pénétré un serveur durci. Les attaquants ont abusé de l'accès légal d'une petite entreprise danoise autorisée à consulter le registre, selon le ministère. Plus de 14 millions de requêtes automatisées ont transité par l'accès de cette seule entreprise en une dizaine de jours en septembre 2026, et environ 8,8 millions d'entre elles ont renvoyé une donnée. L'accès de l'entreprise a depuis été coupé. Des identifiants valides, utilisés à la vitesse d'une machine, ont transformé une défaillance de contrôle d'accès en incident national.

Ce qu'est le CPR, et pourquoi 80 % est le chiffre qui compte

Le CPR est le système d'état civil danois, et les chiffres du ministère montrent quelle part a été touchée.

• Le registre contient les données d'environ 11 millions de personnes. Cela inclut les résidents actuels, les personnes ayant déménagé à l'étranger et les personnes décédées.
• Environ 8,8 millions de ces données ont été touchées, soit près de 80 % du registre.
• La population actuelle du Danemark dépasse à peine 6 millions.

L'écart entre 8,8 millions et 6 millions est la première chose à comprendre. Le chiffre compte des données, pas des résidents vivants. Une personne décédée il y a des années ou partie à l'étranger conserve une donnée CPR, et la sienne peut être happée par le même balayage. The Record, Help Net Security et The Next Web reprennent le chiffre de 8,8 millions. Le titre et le chapeau de TechCrunch utilisaient « 8 millions » pour le même événement, les lecteurs rencontreront donc les deux chiffres.

Un groupe était exclu. Le ministère a indiqué que la violation n'incluait pas les personnes ayant enregistré une protection de leur nom et de leur adresse, un réglage qui tient une adresse à l'écart des annuaires publics.

Atteindre environ 80 % d'un registre que l'État tient depuis des décennies est inhabituel. La plupart des violations d'une base de données publique exposent une tranche choisie par un processus métier, un ensemble de comptes clients ou un seul service. Celle-ci a traversé la quasi-totalité du fichier en quelques jours.

Le numéro CPR est l'essentiel

Le numéro CPR est l'identifiant national du Danemark. Le même numéro suit une personne à travers la déclaration d'impôts, la santé et les services bancaires, et la donnée divulguée l'associe à un nom et à une adresse. C'est cette association qui rend les données utiles à un attaquant. Contrairement à un mot de passe, il ne se limite pas à un service. The Hacker News a relevé l'étendue des usages que ce numéro recouvre.

Pour les personnes présentes dans le registre, le risque se situe en aval. Un numéro CPR divulgué n'ouvre pas à lui seul un compte et ne donne pas à lui seul accès à une banque ou à un portail de santé. Combiné à un nom et à une adresse, il constitue toutefois la matière première sur laquelle se bâtissent la fraude à l'identité et un hameçonnage convaincant. Ce qu'un attaquant détient désormais, c'est un élément stable de l'identité civique de quelqu'un, et contrairement à un mot de passe, il ne change pas.

Ce qu'une personne peut faire après la fuite de ce numéro est une question plus difficile que la réinitialisation d'un mot de passe. Le ministère n'a pas encore formulé de réponse pour 8,8 millions de données, et la divulgation ne comportait aucun conseil des autorités sur le remplacement, la surveillance ou le contrôle des fraudes.

D'une facture à une alerte nationale

La chronologie donnée par le ministère et l'administration du CPR est courte et précise.

• L'administration du CPR a appris l'existence d'une activité irrégulière le soir du vendredi 2 octobre 2026, lorsqu'un employé l'a remarquée. L'ampleur a été établie durant le week-end.
• Des agents de l'unité nationale de lutte contre la criminalité spéciale ont visité l'entreprise le samedi soir 3 octobre 2026 pour sécuriser les preuves.
• L'administration a prévenu l'Agence danoise de protection des données, Datatilsynet, le dimanche 4 octobre 2026.
• Datatilsynet a publié son avis le 5 octobre, le jour même où le ministère a communiqué publiquement.

L'activité a finalement été remarquée via une facture ou une note, selon les récits de l'affaire. Que cela signifie que l'abus soit apparu dans des relevés de facturation, dans une anomalie de coûts ou dans un examen de routine n'est pas clair à la lecture des déclarations publiques. Ce que le détail montre, en revanche, c'est que les requêtes se sont fondues dans le décor assez longtemps pour nécessiter une détection a posteriori. La fenêtre de dix jours donne la mesure de cet écart.

La ministre danoise de la Numérisation, Christina Egelund, l'a qualifié d'« incident profondément grave ».

Un incident profondément grave.

Aucun suspect, et une affaire toujours ouverte

Au moment de la divulgation, la police n'avait identifié ni inculpé personne. Henriette Erbs, qui dirige l'unité nationale de lutte contre la criminalité spéciale, a indiqué que ses agents contactaient les polices d'autres pays. Le ministère n'a pas voulu dire qui était derrière la violation.

L'entreprise exploitée n'a pas été nommée publiquement, et aucun mobile n'a été donné. Cela laisse les questions centrales ouvertes. On ne sait pas s'il s'agissait d'une tentative de constituer une base d'identités en masse, d'un pas vers la fraude ou d'autre chose, et le ministère n'a pas dit si les données avaient déjà changé de mains, été vendues ou étaient restées inexploitées.

Ce que le ministère a dit est plus étroit : que l'accès d'une entreprise a été détourné, que les requêtes ont duré une dizaine de jours et que l'accès a été fermé. Il n'a pas expliqué comment le détournement est passé inaperçu, ni ce que l'entreprise elle-même a fait, le cas échéant.

Les enquêteurs ont agi rapidement sur les aspects qu'ils maîtrisent. L'unité nationale de lutte contre la criminalité spéciale a sécurisé des preuves dans l'entreprise le lendemain de la découverte de l'activité, et la notification à Datatilsynet a suivi dans les deux jours. Les points ouverts sont les plus lents : l'attribution, le mobile et le sort des données. Une violation de registre de cette ampleur soulève aussi la question de savoir qui en répond, ce qu'aucune autorité danoise n'a encore abordé publiquement.

L'écho de 2015

Le Danemark est déjà passé par là, à plus petite échelle. En 2015, deux CD non chiffrés contenant les données CPR de plus de 5 millions de personnes ont été livrés par erreur au centre de demande de visa chinois à Copenhague. Les autorités avaient alors déclaré qu'aucun élément ne prouvait que les données avaient été copiées ou divulguées. Cet incident était une erreur de coursier. Celui-ci, selon le récit du ministère, était un tiers extérieur utilisant l'accès légitime d'une entreprise pour interroger le registre en masse, et l'accès est resté actif une dizaine de jours avant d'être coupé.

Les deux événements diffèrent par la méthode et par ce qui a suivi. L'affaire de 2015 soulevait des questions sur la circulation des supports physiques entre les bureaux. Celle-ci soulève des questions sur la surveillance de l'accès numérique au registre. Dans les deux cas, les données sont sorties par un chemin que l'État avait approuvé, et dans aucun des deux un tiers n'a eu à s'introduire.

Pourquoi une défaillance d'accès est le cas difficile

La plupart des affaires de violation se terminent par un produit corrigé ou une configuration rectifiée. Celle-ci se termine par une question sur le modèle d'accès lui-même.

Le registre doit être consultable. Les entreprises et les organismes publics disposant d'un accès légal doivent l'interroger pour le travail qu'ils accomplissent, et le ministère a indiqué que le numéro est utilisé pour les impôts, la santé, les services bancaires et d'autres services. La violation n'a obligé personne à déjouer cette conception. Il a seulement fallu qu'un détenteur d'accès se retourne contre le registre ou soit compromis. Repérer cela suppose de surveiller à la fois qui a accès et quelle part du registre chacun touche, et à quelle vitesse. Un seul compte extrayant des millions de données en dix jours est un schéma. Pourquoi c'est une facture, et non la surveillance, qui l'a fait remonter, voilà la question que l'affaire laisse ouverte.

La difficulté est structurelle. Une interface de recherche qui répond à des millions de requêtes en dix jours fonctionne comme prévu pour chacune d'elles. L'anomalie n'apparaît qu'en agrégé, dans le schéma de qui interroge et à quelle fréquence. La repérer suppose une journalisation et une analyse des débits pour chaque organisation ayant obtenu un accès, ce qui est plus facile à inscrire dans une politique qu'à appliquer.

Le ministère n'a pas dit comment l'accès de l'entreprise a été détourné, ni si un initié, un compte compromis ou une intégration mal configurée en était responsable. Tant qu'il ne le fera pas, l'incident montre qu'un registre peut être vidé par une porte ouverte exprès.

À suivre

Que l'enquête nomme quelqu'un, et qu'elle franchisse les frontières. Erbs a indiqué que son unité contactait les polices d'autres pays, le signal le plus clair à ce jour que la piste mène hors du Danemark. Une affaire transfrontalière testerait aussi la manière dont les autorités danoises travaillent avec des polices étrangères sur des données extraites d'un registre national.

Que l'examen de Datatilsynet confirme l'ampleur. L'agence n'avait pas terminé son évaluation lorsque le ministère a communiqué, et sa formule « prétendument récupérés » laisse la place à un chiffre qui pourrait bouger. Si le nombre confirmé baisse, la probabilité que cette affaire reste la plus grande violation du pays baisse aussi.

Ce que change l'opérateur du registre. L'accès de l'entreprise a été coupé, mais le ministère n'a pas décrit de nouvelles limites sur la part du CPR qu'un seul détenteur peut interroger. C'est le contrôle qui aurait réduit cet incident dès le départ, et c'est celui qui sera le plus probablement débattu.

Et ce qu'on dit aux personnes touchées de faire. Avec des noms, des adresses et des numéros CPR en circulation, la réponse officielle pour 8,8 millions de données en dira autant sur la préparation du Danemark que la violation elle-même. Le ministère a décrit l'incident et la réponse apportée jusqu'ici, mais pas les consignes qui viennent ensuite.

Image de couverture : Moahim, Wikimedia Commons, CC BY-SA 4.0.