Deens CPR-register: 8,8 miljoen dossiers via bedrijfstoegang

Volgens de berichtgeving van IT Pro maakten de Deense autoriteiten op 5 oktober 2026 bekend dat onbevoegden via de rechtmatige zoektoegang van een bedrijf namen, adressen en CPR-nummers van ongeveer 8,8 miljoen geregistreerde personen konden raadplegen. De bedrijfstoegang is inmiddels ingetrokken en de politie onderzoekt het incident.

Het getroffen bestand omvat ook mensen die Denemarken hebben verlaten of zijn overleden. Voor organisaties die een leverancier toegang tot een register geven, maakt de zaak een onderscheid zichtbaar: toestemming voor de verbinding zegt nog niets over de vraag of afzonderlijke accounts die verbinding gebruiken zoals bedoeld.

Omvang en gegevens in het CPR-register

De officiële bekendmaking plaatst de afwijkende activiteit in september, noemt 2 oktober 2026 als ontdekkingsdatum en zegt dat het register ongeveer 11 miljoen personen omvat; namen en adressen van mensen met naam- en adresbescherming vielen buiten de ongeautoriseerde toegang. Minister Christina Egelund noemt het incident daarin ‘Det er en dybt alvorlig hændelse’ — een zeer ernstig incident.

De concreet genoemde gegevenscategorieën zijn naam, adres en CPR-nummer. Er wordt ook naar andere gegevens verwezen, maar een volledige opsomming van bereikbare velden ontbreekt. Daardoor valt uit de openbare informatie nog niet voor iedere geregistreerde af te leiden welke aanvullende gegevens zijn geraadpleegd.

Een afgeschermd adres verandert de beoordeling voor de betrokken persoon: juist naam en adres waren in die gevallen niet via deze route toegankelijk. Dat neemt de behoefte aan duidelijkheid over eventueel bereikbare andere velden niet weg. De afbakening van het incident blijft onderdeel van het onderzoek.

Een combinatie van correcte persoonsgegevens kan een telefoontje of bericht geloofwaardig laten klinken. Kennis van een CPR-nummer bewijst echter niet dat de afzender namens een instantie handelt. Dat is het directe risico voor betrokkenen zolang nog wordt onderzocht waar de geraadpleegde gegevens terecht zijn gekomen.

Hoe een geldige bedrijfsverbinding misbruikt kon worden

Een afgesloten zakelijke toegangsroute verbeeldt hoe de CPR-administratie de misbruikte zoektoegang introk.

De zakelijke zoekfunctie van het CPR-register heeft een rechtmatig doel. Een private organisatie met een gerechtvaardigd belang kan gegevens opvragen over personen die zij vooraf afzonderlijk heeft geïdentificeerd. In deze zaak lag de kwetsbaarheid bij het gebruik van zo’n bestaande verbinding: technisch toegestane verzoeken konden op grote schaal door onbevoegden worden gedaan.

Een toegangsrecht beantwoordt vooral de vraag welke gegevens een leverancier mag opvragen. Het beoordeelt niet vanzelf of het aantal verzoeken, het tijdstip en de opeenvolging ervan passen bij het werk waarvoor dat recht is verleend. Juist bij een groot register kan een reeks op zichzelf geldige zoekopdrachten samen een ernstig incident vormen.

Daarom zijn beperkte rechten en bewaking van gebruik afzonderlijke controles. Een leverancier hoeft alleen de velden en functies te krijgen die zijn taak vereist. Daarnaast moet de registerbeheerder kunnen zien welk persoonlijk account via de bedrijfsverbinding zoekt en of het zoekpatroon afwijkt van het gebruikelijke werk van die leverancier.

De tijd tussen de zoekactiviteit en de ontdekking laat zien waarom registratie van verzoeken alleen niet volstaat. Logs worden pas een waarschuwing als iemand of een systeem opvallende aantallen, een plotseling hoger tempo en ongebruikelijke zoekpatronen tijdig beoordeelt. De passende grens hangt af van de taak van de leverancier; een vast maximum voor alle externe partijen zou normale verschillen in gebruik verhullen.

De wachtwoordclaim en de bevestigde toegangsroute

Het bericht van Ritzau identificeert Pays ApS uit Odense als het getroffen bedrijf en beschrijft een bevinding van Politiken: minstens drie bedrijfsprofielen, waaronder een beheerdersaccount, gebruikten het wachtwoord ‘123456’. Het bericht citeert ook een anonieme persoon die zegt via een gelekt wachtwoord van een voormalige medewerker toegang te hebben verkregen.

De bevinding over die profielen en de verklaring van de vermeende aanvaller hebben een andere status dan de officieel vastgestelde bedrijfsroute. Uit de aanwezigheid van het zwakke wachtwoord volgt niet welk account voor de eerste ongeautoriseerde toegang is gebruikt. De praktische beoordeling van de registertoegang hangt daar ook niet volledig van af: eenmaal binnen konden onbevoegden de bestaande zoekmogelijkheid benutten.

Voor de leverancier maakt die onzekerheid een controle op actieve accounts des te belangrijker. Oude accounts, gedeelde inloggegevens en beheerdersrechten verdienen afzonderlijke aandacht wanneer een organisatie toegang tot persoonsgegevens doorgeeft. Welke van die omstandigheden in deze zaak doorslaggevend was, moet het onderzoek uitwijzen.

Welke controles bij leveranciersaccounts nodig zijn

Sterk opgelopen zoekactiviteit bij een bedrijfsingang laat zien waarom monitoring en snelle intrekking afzonderlijk nodig zijn.

Minimale rechten beperken de mogelijke schade voordat er iets misgaat. Leg per leverancier vast voor welke taak de verbinding bestaat, welke gegevensvelden daarvoor nodig zijn en welke individuele accounts de toegang mogen gebruiken. Een verandering van functie, vertrek van een medewerker of einde van een contract moet aanleiding zijn om die rechten opnieuw te beoordelen.

Logging en afwijkingsdetectie maken misbruik achter een geldige aanmelding zichtbaar. Een bruikbaar zoeklog legt vast welk account wanneer welk type verzoek uitvoerde, zonder meer persoonsgegevens te bewaren dan voor controle nodig is. Een plotselinge stijging van het volume of een patroon dat niet bij de afgesproken taak past, kan dan tijdens het gebruik worden onderzocht in plaats van pas achteraf.

Snelle intrekking vraagt om een eigen besluit en een eigen technische mogelijkheid. De registerbeheerder moet een account of volledige bedrijfsverbinding kunnen stilzetten wanneer een signaal ernstig genoeg is; de leverancier moet tegelijk de eigen betrokken accounts kunnen blokkeren. Spreek vooraf af wie die beslissing neemt en hoe beide partijen elkaar buiten de gewone rapportage om bereiken.

Ook de meldroute hoort bij dat model. Beheerder en leverancier hebben een gedeeld beeld nodig van de zoekactiviteit, de mogelijk geraakte gegevens en de momenten waarop toegang is beëindigd. Daarmee kunnen zij een incident onderbouwen voor toezichthouder, opsporingsinstanties en betrokkenen, terwijl het onderzoek naar de precieze oorzaak doorgaat.

In Denemarken is de zakelijke toegang stopgezet en loopt een veiligheidsbeoordeling van het CPR-register. De uitkomst moet vooral duidelijk maken waar de keten van toegangsverlening, signalering en ingrijpen eerder had kunnen worden onderbroken.