2026年10月12日：丹麦 880 万 CPR 编号泄露：极弱口令引致重大数据安全事故

事件核心概况

根据 2026 年 10 月 11 日最新消息，丹麦中央个人登记系统（CPR, Central Person Register）发生重大数据泄露事件，涉及约880 万个人登记编号（CPR Number）。

* 涉事主体：丹麦第三方服务企业 ：Pays ApS

* 泄露规模：约 880 万条公民 CPR 身份编号数据

* 事件性质：因极弱口令导致的企业高权账户被劫持与数据非法调取

攻击路径与原因分析

1、合法权限遭滥用

* Pays ApS 公司依法拥有丹麦 CPR 系统的合规查询与接入接口。黑客未直接攻破国家级 CPR 底层数据库，而是通过入侵该公司账户，非法滥用其合法查询权限进行批量数据抓取。

2、安全管理严重失职（极弱口令）

* 调查显示，Pays ApS 公司内部至少有三个系统账户使用了 123456 极弱密码，其中甚至包括一个管理员账户（Admin Account）。黑客通过极其简单的凭据爆破或凭据枚举即可直接掌控高权限账号。

3、事故确认

Pays ApS 公司官方目前已确认遭到网络攻击，相关受影响接口与账户已被紧急处置。

风险影响与安全启示

1、隐私与身份盗用风险：CPR 编号是丹麦公民及居民在医疗、税务、银行、社会福利等领域的唯一身份标识，大规模泄露极易引发后续的精准钓鱼攻击、身份盗用与社会工程学诈骗。

2、供应链/第三方合规隐患：本事件再次凸显了“供应链安全（Supply Chain Security）”的脆弱性。即使核心政企系统具备高强度防护，若对拥有接入权限的第三方供应商缺乏严格的身份鉴权与安全审计，整体安全防线仍形同虚设。

3、访问控制与身份鉴权（IAM）底线：

* 强制多因素认证（MFA）：对于具备敏感/大规模数据查询权限的账户，必须强制开启 MFA，杜绝单凭密码认证。

* 口令复杂度策略：禁用常见的通用弱口令（如 123456`、`password 等），建立严格的口令策略与定期审计机制。

*  异常行为监测（UBA）：建立接口调用频次与异常调取监控，针对短时间内大批量查询敏感数据的行为应触发自动阻断与报警。