Ett tvåmannabolag i Odense hade laglig åtkomst till uppgifter om 8,8 miljoner personer. Granskningar visar nu att flera av bolagets konton, även administratörskontot, skyddades med ett av världens vanligaste lösenord.
Lösenordet ”123456” orsakar Danmarks största dataläcka någonsin
Det har kallats det största läckaget av personuppgifter i Danmarks historia. Under september kom en obehörig åt namn, adresser och CPR-nummer, Danmarks motsvarighet till personnummer, för omkring 8,8 miljoner personer.
Nu framträder en bild av ett intrång som var förvånansvärt enkelt. Minst tre användarkonton hos it-bolaget Pays på Fyn använde lösenordet ”123456” när registret kom i obehöriga händer, och ett av dem var bolagets administratörskonto. Det rapporterar Politiken, enligt Copenhagen Post.
Läs även: AI-attacker mot finansbolag och banker– nu stängs verktyget. Realtid
Jens Myrup Pedersen, professor vid Aarhus universitet, sågar säkerheten.
”Det finns egentligen ingen säkerhet, det är en öppen dörr, säger han till Politiken.
Upptäcktes via en faktura
Hackaren hade åtkomst till CPR-registret från den 10 september, sammanlagt i 21 dagar och 17 timmar. Enligt den danska CPR-administrationens anmälan till Datatilsynet tycks den obehöriga aktiviteten dock ha upphört redan omkring den 20 september.
Läs även: Kompisbedrägeriet: 84 miljoner stals via kapade konton. Dagens PS
Via bolagets konto gjordes över 14 miljoner uppslag, varav 8,8 miljoner gav träff. Eftersom företag betalar per sökning upptäcktes intrånget först när CPR-administrationen skulle fakturera bolaget, skriver The Next Web med hänvisning till TV 2.
Negativt eget kapital
Pays ApS är ett litet bolag. Det grundades i november 2018 under namnet CharityGuard ApS och hade två anställda i juli 2026 enligt det danska företagsregistret.
Missa inte: Elon Musk lånar 400 miljarder – för att köpa AI-chip från Nvidia. Realtid
För räkenskapsåret som slutade i september 2025 redovisade bolaget en bruttovinst på knappt 1,3 miljoner danska kronor och ett resultat på 317 000 kronor. Det egna kapitalet var negativt, minus 320 000 kronor. Moderbolag är Sophie Laursen ApS, enligt Proff.
Vd och ägare Sophie Laursen har i ett mejl till TV 2 bekräftat att det var Pays lagliga åtkomst till CPR-registret som missbrukades. Hon har inte svarat på Politikens frågor om bolagets säkerhet.
Hackare: AI skrev koden
En anonym person som säger sig ligga bakom intrånget har berättat för Politiken hur det gick till. Enligt hackaren skedde intrånget med hjälp av ett läckt lösenord från en tidigare anställd, varefter två program användes för att hämta ut uppgifterna och lagra dem externt.
Programmet ska enligt hackaren ha skrivits av AI, något två experter som granskat koden för Politiken bedömer som troligt. Ett fel i koden gjorde att programmet sökte efter personer födda 1877 i stället för 1977.
Uppgifterna är inte oberoende bekräftade. Hackaren säger sig inte vilja sälja eller läcka numren, och jämför händelsen med att stjäla en obevakad resväska med plutonium på en järnvägsstation, enligt TT.
Personnumret duger inte längre
Laila Reenberg, chef för den danska myndigheten för samhällsskydd och beredskap, har konstaterat att CPR-numret inte längre kan användas för identifiering, och att den som anger ett nummer inte längre säkert är den man tror. Danska apotek har skärpt kontrollerna vid utlämning av medicin.
Drygt 970 000 danskar hade registrerat en kreditspärr den 7 oktober, jämfört med knappt 250 000 en vecka tidigare.
CPR-administrationen har också skickat brev till samtliga 1 039 företag med åtkomst till registret, bland dem banker, teleoperatörer, advokatbyråer, fackförbund och försäkringsbolag. Företagen påminns om att de måste ha en säkerhetsansvarig och löpande övervaka medarbetarnas åtkomst, skriver Sjællandske Medier.
Digitaliseringsminister Christina Egelund har beställt en säkerhetsöversyn. Hon menar att det är för tidigt att avgöra om danskarna behöver nya personnummer.
Läckan berör även svenskar. Dagens PS har tidigare rapporterat att svenskar med danskt CPR-nummer kan vara drabbade. Realtid har också skrivit om ett annat stort dataintrång i år, mot Condé Nast.
