Secondo il Ministero danese della Ricerca, Educazione e Digitalizzazione, l’attacco informatico ha esposto nomi, indirizzi e diversi CPR-nummer (codici fiscali locali).

Un data breach contro il Det Centrale Personregister (CPR) della Danimarca (il registro anagrafe centrale) ha esposto informazioni sensibili di 8,8 milioni di persone, come “nomi, indirizzi e CPR-nummer” (l’equivalente danese del codice fiscale). Tra le informazioni rubate – sono circa 11 milioni le persone registrate – risultano anche quelle di cittadini danesi trasferiti all’estero o deceduti (al 2025 il Paese scandinavo contava circa sei milioni di abitanti).

Secondo le prime ricostruzioni l’accesso ai dati non è avvenuto attraverso una violazione diretta dei sistemi del CPR. Il primo rilevamento di un comportamento anomalo nel sistema è avvenuto la sera di venerdì 2 ottobre 2026. I cyber criminali hanno invece sfruttato l’accesso legittimo di un’azienda privata danese autorizzata a effettuare ricerche nel registro.

La conferma è arrivata direttamente dal Ministero danese della Ricerca, Educazione e Digitalizzazione che poi, comunque, ha precisato: “Le autorità hanno bloccato l’accesso dell’azienda coinvolta e avviato un’indagine“. Il coinvolgimento delle terze parti ha rinnovato le preoccupazioni degli esperti sulla loro messa in sicurezza.

L’ipotesi sulla violazione

La legislazione danese consente ad alcune aziende private, quando esiste un interesse legittimo, di ottenere determinate informazioni dal registro CPR.

In questo caso l’azienda esterna, ha spiegato il Ministero, disponeva di un accesso legale al sistema CPR per consultare determinate informazioni. E proprio questo accesso sarebbe stata la chiave che i criminali hanno impiegato “per effettuare interrogazioni al database al di fuori degli scopi consentiti“.

Dalle verifiche effettuate finora è emerso che nomi e indirizzi delle persone che avevano richiesto la protezione di nome e indirizzo “non sono stati interessati dall’accesso non autorizzato“. Tre anni fa, una serie di attacchi informatici altamente coordinati contro 22 aziende che supervisionano vari componenti dell’infrastruttura energetica danese, aveva causato “il più grande incidente informatico mai registrato nel Paese“.

L’allarme del Governo danese

Non appena individuata l’anomalia, l’amministrazione del CPR ha interrotto l’accesso dell’azienda privata al sistema. Insieme alla notifica alla Datatilsynet, l’autorità danese per la protezione dei dati, sono cominciate le indagini. Al momento però, sottolineano le autorità danesi, non è ancora possibile stabilire chi sia responsabile dell’attacco.

La ministra responsabile, Christina Egelund, ha definito l’incidente estremamente grave e ha informato della vicenda anche la commissione parlamentare competente. Questo il suo commento nel merito: “Stiamo lavorando insieme a tutte le autorità competenti per mappare la portata completa dell’incidente“.

La ministra ha inoltre annunciato nuove misure di sicurezza per il sistema CPR e ha ordinato una revisione approfondita della sicurezza dell’intero sistema. Sistema, che dovrebbe servire a individuare eventuali ulteriori interventi necessari. Egelund ha invitato i cittadini danesi a prestare particolare attenzione nelle prossime settimane. Nonché, a seguire le indicazioni pubblicate sui servizi nazionali per la sicurezza digitale.

Le autorità danesi hanno rivolto ai cittadini un avvertimento specifico. La disponibilità di dati come nome, indirizzo e numero CPR si può sfruttare per rendere più credibili tentativi di phishing, frodi telefoniche o altre forme di ingegneria sociale.

Seguici anche sul nostro canale WhatsApp

Vai al sito di Cybersecurity Italia.

L'articolo Danimarca, data breach contro l’anagrafe centrale. Esposti i dati di 8,8 milioni di persone sembra essere il primo su CyberSecurity Italia.