Aanvaller: 'Deense bevolkingsregister gehackt via beheerdersaccount met zwak wachtwoord'
Minstens drie gebruikersaccounts van het Deense IT-bedrijf Pays hadden "123456" als wachtwoord op het moment dat een hacker toegang kreeg tot het Deense bevolkingsregister (CPR). Dat meldt de Deense krant Politiken. Een van de accounts was het beheerdersaccount van het bedrijf.
Door het datalek raakte informatie bekend die hoort bij ongeveer 8,8 miljoen CPR-nummers. Het CPR-register is de centrale bevolkingsadministratie van Denemarken en bevat persoonsgegevens van mensen die in Denemarken wonen of er eerder stonden ingeschreven. Politiken zegt gegevens uit het lek te hebben ingezien die de hacker naar eigen zeggen gebruikte om binnen te komen.
Bedrijf bevestigt misbruik van toegang
Pays ApS, gevestigd in Odense op het eiland Funen, bevestigde vrijdag tegenover TV 2 dat het om het getroffen bedrijf gaat. Eigenaar en directeur Sophie Laursen schreef in een e-mail dat het bedrijf is aangevallen en dat zijn wettelijke toegang om gegevens in het CPR-systeem op te zoeken is misbruikt. Volgens het Deense bedrijvenregister had Pays in juli 2026 twee medewerkers.
De hacker had vanaf 10 september in totaal 21 dagen en 17 uur toegang tot het register.
Hacker spreekt van weinig moeite
Een anonieme hacker meldt aan Politiken achter de aanval te zitten. Hij stelt dat het niet bijzonder moeilijk was om binnen te komen. Volgens die persoon kwam de toegang aanvankelijk tot stand met een uitgelekt wachtwoord van een voormalige medewerker van een klein Deens bedrijf. Daarna zou de hacker twee computerprogramma's hebben gemaakt om gegevens uit het CPR-systeem op te halen en extern op te slaan. De hacker stelt niet van plan te zijn de gegevens te verkopen of openbaar te maken.
Meer over Security
Over Wouter Hoeffnagel
