Au moins trois comptes de l'entreprise informatique basée à Funen, Pays, ont utilisé le mot de passe '123456' lorsque des pirates ont accédé au registre CPR danois, incluant un compte administrateur. La fuite a exposé des informations liées à environ 8,8 millions de numéros CPR. Pays Ap S, basée à Odense, a confirmé qu'elle était l'entreprise dont l'accès légal au système CPR a été abusé.
Le pirate avait accès du 10 septembre pendant 21 jours et 17 heures, en entrant via un mot de passe divulgué d'un ancien employé d'une petite entreprise danoise. Jens Myrup Pedersen, professeur à l'Université d'Aarhus, a appelé la sécurité des mots de passe 'sans espoir', affirmant que '123456' est l'un des premiers mots de passe devinés dans les listes courantes. Il a déclaré que c'était 'une question de temps avant que les choses ne tournent mal'.
Les entreprises privées peuvent accéder aux données CPR pour des besoins légitimes comme la vérification d'adresse. Selon le Registre central des entreprises du Danemark, fin juillet 2026, Pays Ap S n'avait que deux employés. Le pirate a affirmé qu'il n'avait pas l'intention de vendre ou de publier les données volées.
Source: Hacker News · Résumé par HeadlinesBriefing