Danska CPR-registret läckte: 8,8 miljoner personnummer via Pays

Sammanfattning

Obehöriga har kommit över namn, adresser och personnummer för omkring 8,8 miljoner personer i det danska CPR-registret, Danmarks motsvarighet till folkbokföringen. Det danska ministeriet för forskning, utbildning och digitalisering offentliggjorde intrånget den 5 oktober 2026. Angriparna utnyttjade den lagliga sökåtkomst till registret som företag Pays ApS i Odense hade. CPR-förvaltningen upptäckte avvikelsen på kvällen den 2 oktober, stängde företagets åtkomst och anmälde händelsen till den danska dataskyddsmyndigheten Datatilsynet. Ingen misstänkt har pekats ut. En anonym person har tagit på sig ansvaret för angreppet i tidningen Politiken. Personer med skyddad identitet eller skyddade adressuppgifter berördes inte. Svenskar som har bott i Danmark kan finnas bland de drabbade.

Svenskar kan finnas i det danska CPR-registret

Registret innehåller cirka 11 miljoner poster, inklusive uppgifter om avlidna personer och personer som har flyttat ut ur landet. Danmark har drygt 6 miljoner invånare. Den som bosätter sig i Danmark får ett CPR-nummer och finnskvar i registret även efter att ha flyttat tillbaka till sitt hemland, enligt Nyheter24. Svenska medborgare kan alltså ingå bland de 8,8 miljonerna.

Danskarna har reagerat snabbt. Omkring 970 000 personer hade registrerat en kreditvarning i CPR-register. Den 1 oktober var de knappt 250 000, uppger ministeriet.

”Om någon uppger ett CPR-nummer kan man inte längre utgå från att numret identifiera en specifik person”, sade Laila Reenberg vid pressträff den 6 oktober. Hon leder Styrelsen for Samfundssikkerhed, Danmarks myndighet för samhällsskydd. Danska apotek skärper nu kontrollerna vid utlämning av läkemedel, rapporterar Ny Teknik.

Fakturan avslöjade 14 miljoner sökningar

Inget larm utlöstes medan angrepp pågick. Avvikelsen syntes först vid faktureringen en fredagskväll då ett mycket stort belopp debiterades för september, berättade avdelningschefen Mikkel Leihardt på ministeriet. Privata användare betalar per sökning.

Dokument som TV 2 har tagit del av visar att kontot var aktivt från den 10 september till den 2 oktober, sammanlagt 21 dagar och 17 timmar. Själva aktiviteten tycks ha upphört den 20 september enligt CPR-kontorets rapport till Datatilsynet. Omkring 14 miljoner sökningar gjordes med företagets inloggningsuppgifter. Datatilsynet beskriver automatiserade sökningar i mycket stor skala i syfte att hitta giltiga CPR-nummer.

Lösenordet 123456 och en anonym angripare

Pays ApS bekräftade den 9 oktober för TV 2 att det var företagets åtkomst till registret som missbrukats. Företaget hade två anställda i juli 2026 enligt det danska företagsregistret.

Den 8 oktober uppgav en anonym person för Politiken att hen låg bakom angreppet. Enligt personen gav ett läckt lösenord som tillhört en tidigare anställd tillgång till företagets sökkonto. Två program hämtade sedan uppgifterna och lagrade dem utanför systemet. Politiken granskade material från personen och rapporterade att minst tre konton hos Pays använde lösenordet ”123456”, däribland administratörskontot. Personen säger sig inte ha för avsikt att sälja eller offentliggöra uppgifterna. Den 13 oktober skrev tidningen att koden enligt personen hade skrivits med hjälp av AI och att ett fel fick programmet att söka efter personer födda 1877 i stället för 1977.

Polisen har inte bekräftat uppgifterna.

Fortfarande obesvarade frågor den 13 oktober

Ingen hade identifierats eller åtalats när polisen höll pressträff den 6 oktober. Ministeriet talar om nya åtgärder kring CPR men redovisar inte vilka. Det är också oklart om de drabbade kommer att underrättas var för sig. Ministern Christina Egelund anser att det är för tidigt att ta ställning till nya CPR-nummer. Pays vd har inte svarat på Politikens frågor om säkerheten.

Köpenhamn efterlyste loggövervakning redan i mars

Intrånget i danska CPR-registret hittades genom en faktura tolv dagar efter att aktiviteten enligt rapporten upphörde. I en promemoria daterad den 20 mars 2026 skrev Köpenhamns kommun till sina politiker att kommunen samarbetar med ministeriet som ansvarar för CPR om automatiserad övervakning av sökloggar. Bakgrunden var en tidigare anställd som gjorde 1 745 obehöriga CPR-sökningar mellan juni 2023 och juli 2024. Promemorian gällde kommunens egen personal och inte privata företags konton. Ministeriet har inte uppgett om något automatiskt larm för stora sökvolymer omfattade konton som Pays Aps hade i september, då ett företag med två anställda stod för omkring 14 miljoner sökningar.

Referenser

1. Omfattende uautoriseret adgang til borgeres CPR-oplysninger
2. Orientering om CPR-sag, 20 marts 2026
3. Data breach at Denmark’s national population register exposes 8.8 million people
4. Hacker retained access to Danish CPR register for nearly 22 days before breach was discovered
5. `123456’ password used in massive Danish CPR data breach
6. Suspected hacker says AI created program used in Danish CPR breach
7. Denmark’s CPR breach: 14 million lookups in ten days, found through a bill
8. Miljontals personnummer läckta i Danmark: du kan vara drabbad
9. Miljontals danska personnummer läckta: ”guldgruva” för kriminella

This post is also available in: