Un identifiant parmi les plus faibles au monde aurait suffi pour ouvrir l’accès au registre central danois. L’incident fragilise désormais l’usage du numéro CPR comme preuve d’identité.
La fuite CPR attribuée à plusieurs comptes mal protégés
Une personne revendiquant l’attaque affirme auprès du quotidien danois Politiken qu’au moins trois comptes de Pays ApS utilisaient le mot de passe « 123456 ». L’un d’eux disposait de droits administrateur. Cette combinaison figure depuis des années parmi les mots de passe les plus courants.
Pays ApS est une société informatique d’Odense comptant deux employés et bénéficiant d’un accès autorisé au registre central des personnes, le CPR. Les autorités danoises ont confirmé la compromission le 5 octobre : les noms, adresses et numéros CPR d’environ 8,8 millions de personnes ont été exposés, y compris ceux de personnes décédées ou parties vivre à l’étranger.
La directrice générale de Pays, Sophie Laursen, a reconnu le 9 octobre que l’accès de l’entreprise avait été détourné. Le site internet de la société a depuis été mis hors ligne.
Quatorze millions de recherches automatisées en dix jours
Des documents obtenus par la chaîne danoise TV 2 indiquent que l’intrusion a commencé le 10 septembre. Jusqu’au 20 septembre, l’attaquant aurait lancé environ 14 millions de recherches automatisées dans le registre.
L’activité n’a été repérée que le 2 octobre, lorsqu’un employé ministériel a relevé sur une facture un volume anormalement élevé associé à Pays. Certains récits évoquent également un mot de passe divulgué lié à un ancien salarié comme point d’entrée initial, mais les circonstances exactes restent incertaines.
Le numéro CPR ne suffit plus à vérifier une identité
L’auteur présumé assure ne pas vouloir vendre ni publier les informations récupérées. Cette promesse ne réduit toutefois ni l’étendue de l’exposition ni les risques d’exploitation ultérieure des données.
L’Agence danoise pour la sécurité publique, Samsik, estime désormais qu’un numéro CPR ne peut plus être considéré, à lui seul, comme un moyen fiable de vérifier une identité. Les personnes concernées doivent notamment se méfier des tentatives de phishing enrichies avec leurs véritables informations personnelles.
Au-delà de la faiblesse présumée des mots de passe, les 14 millions de requêtes restées actives pendant dix jours interrogent les mécanismes de détection et de limitation d’accès. Sur un registre aussi sensible, l’authentification multifacteur, le contrôle des privilèges et les alertes comportementales auraient dû empêcher qu’une activité de cette ampleur ne soit découverte à la lecture d’une facture.
Source : Politiken
