デンマークで880万人分の情報流出、パスワード「123456」が原因か

世界で最も推測されやすいパスワードの一つが、デンマークの約880万人分の個人情報流出に関与した可能性があります。

デンマークの中央個人登録簿（CPR）への侵入を主張する人物は、同国の新聞Politikenに対し、デンマーク企業の元従業員のものとされる漏洩パスワードを入手したと語りました。 The Registerの10月13日付の報道によると、Politikenは、管理者アカウントを含むPays ApSの少なくとも3つのアカウントがパスワード「123456」を使用していたと報じています。

デンマーク当局は登録簿への不正アクセスを認めていますが、この脆弱なパスワードが最初の侵入口だったと公式に認定してはいません。さらに新たな報道によると、攻撃者とされる人物は、個人情報の取得を自動化するためにAIが生成したコードを使用したといいます。このため、サードパーティのセキュリティ、特権アカウントの保護、データベースの不審な操作の監視をめぐる懸念が高まっています。

「123456」のパスワードはどのように流出と結び付けられたのか

デンマークの中央個人登録簿には、現在の居住者、死亡者、過去に同国に居住していた人々を含む約1,100万件の記録が登録されています。

10月5日の政府発表で、デンマーク当局は、第三者が民間企業の正規の登録簿アクセス権限を悪用し、約880万人の個人情報にアクセスしたことを確認しました。

当局は、約880万人の登録者の氏名、住所、CPR番号などの情報に不正アクセスがあったことを認めています。保護対象の氏名と住所は不正アクセスの対象外だったとしており、取得された情報の全容は調査中です。

政府は調査が継続中であると説明しています。880万人という数字には死亡者や過去の居住者も含まれており、デンマークの現在の人口を示すものではありません。関与した企業はPays ApSで、同社のマネージングディレクターであるSophie Laursen氏は10月9日、CPR登録簿を検索するための正規のアクセス権限が悪用されたことを認めました。

犯行を主張する人物はPolitikenに対し、CPR情報を取得して外部に保存するための2つのコンピュータプログラムを作成したと語りました。デンマーク当局は、この侵入に関する本人の説明を独自に確認してはいません。

デンマークの通信社Ritzauの報道によると、この人物はCPR番号を含むファイルをPolitikenに提供しました。同紙はそのファイルをサイバーセキュリティの専門家に送付し、専門家は攻撃者の説明にはもっともらしさがあると判断しました。 10月13日に公開された追加報道で、Ritzauは、攻撃者とされる人物がAIが生成したプログラムを使って8,749,975件のCPR番号を取得したと主張していると伝えました。

2人の専門家が4万行を超えるコードを調べ、AIが生成したものと思われると結論づけました。この評価はコードの由来に関するものであり、取得されたとされる記録件数を独自に確認したものではありません。

Politikenの報道によると、このプログラムは1977年生まれではなく1877年生まれの人物を誤って検索していたため、攻撃者とされる人物が同紙に提供した資料には、1977年生まれに関連するCPR番号が含まれていませんでした。

デンマーク当局は、攻撃者が主張する取得総数を独自に確認していません。

デンマークの放送局TV 2が入手した文書によると、不正な第三者は9月10日から約21日と17時間にわたり、CPRシステムにアクセスできる状態にありました。

同社の正規のアクセス権限を通じて、約1,400万件の自動検索が実行されました。有効なCPR番号を特定する目的だったとされています。予備調査では、不正な活動は9月20日ごろに止まったとみられますが、侵害されたアクセス権限は、当局が事案を発見して同社のアクセスを遮断した10月2日まで利用可能な状態でした。

デンマークのデータ保護機関によると、漏洩の通知には、有効なCPR番号を特定することを目的とした多数の自動検索が記載されていました。同機関は10月4日に通知を受け取り、事案の発生経緯や、影響を受けた個人情報の処理責任者が誰かを含めて調査を開始しました。

約1,400万件という数字はデータベースへの検索クエリ数であり、8,749,975という数字は攻撃者とされる人物が取得したと主張するCPR番号の数です。デンマーク当局は、約880万人の登録者に影響する不正アクセスがあったことを確認していますが、最終的に抽出され保持された情報の正確な量は不明のままです。

政府は10月5日にこの事案を公表しました。翌日の記者会見で、デンマーク研究・教育・デジタル化省の局長Mikkel Leihardt氏は、同社のCPR登録簿検索に対して通常より著しく高額な料金が請求されていたことから、当局が侵害を発見したと説明しました。 Ritzauが伝えています。

犯行を主張する人物は、情報を販売したり公開したりするつもりはないと述べたと報じられています。この主張は独自に検証されておらず、なりすまし被害やその他の悪用の可能性が消えるわけではありません。

今回の事案は、攻撃者がデータベース所有者のシステムを直接侵害しなくても、信頼された外部パートナーを通じて機密情報が漏洩しうることを示しています。

関連する事例として、 BigCommerceのサードパーティアプリケーションをめぐるセキュリティインシデントがあります。外部連携が顧客情報にアクセスできる場合に、組織が直面するより広範なリスクを浮き彫りにしています。

デンマークの情報流出がセキュリティチームに示す教訓

報じられたパスワードは最も衝撃的な事実ですが、より大きな問題は、正規のアクセス権限を持つアカウントが、適時の対応を引き起こすことなく数百万件のデータベース検索を実行できたとされる点です。

AIが生成したコードが使われたとされる点は、新たな側面を加えています。攻撃者は高度なツールをゼロから開発しなくても、大規模なデータ収集を自動化できる可能性があります。そのため、効果的なアクセス制御と行動監視がとりわけ重要になります。

機密性の高い顧客情報を扱うセキュリティチームにとって、この事案は4つの優先事項を示しています。認証の強化、サードパーティのアクセス制限、異常な活動の監視、そして本人確認の改善です。

認証と特権アカウントのセキュリティを強化する

組織は、よく使われるパスワードや漏洩済みのパスワードの使用を禁止し、固有の認証情報を必須とし、対応可能な場面ではフィッシング耐性のある多要素認証を導入すべきです。

セキュリティチームはまた、特権アカウントを定期的に見直し、従業員の退職時にはアクセス権を取り消し、必要に応じて認証情報をローテーションする必要があります。これらの取り組みは、eSecurityPlanetの IDおよびアクセス管理ソリューションのガイドで解説されているIDガバナンスや認証制御と一致します。

ただし、強力な認証でも、侵害されたセッションや盗まれた認証情報を使った攻撃をすべて防げるわけではありません。組織は、認証済みアカウントがアクセス後に何をしているかも監視しなければなりません。

機密データベースへのサードパーティのアクセスを制限する

外部ベンダーには、割り当てられた機能の実行に必要な権限のみを付与すべきです。

たとえば、個々の顧客記録を確認する権限を持つ企業であっても、数百万件のデータベースエントリへの無制限のアクセスは必要ないはずです。

セキュリティチームは次の対策を講じる必要があります。

• 最小権限の原則を適用し、管理者アカウントとサードパーティのアカウントを定期的に見直す
• 異常なデータベース検索、一括取得、自動クエリに対するレート制限とアラートを設定する
• 不要な認証情報を無効化し、ベンダーの活動を監視して通常の利用パターンからの逸脱を確認する

これらの防御策は、攻撃者が認証に成功した場合でも、侵害されたアカウントによる被害を抑えることができます。

外部アクセスに伴うリスクについては、eSecurityPlanetの 2026年版Verizon Data Breach Investigations Reportの分析でも取り上げています。この分析では、サードパーティの関与など、現代のサイバーインシデントを引き起こす要因を検証しています。

認証成功後の不審な活動を検知する

報告された約1,400万件の検索は、認証済みの活動を監視することの重要性を浮き彫りにしています。

セキュリティチームは、データベースクエリの予期せぬ急増、通常とは異なるアクセス時間、大量の個人記録を対象とした繰り返しのリクエストを調査すべきです。行動分析、データベースアクティビティ監視、自動アラートは、大規模なデータ抽出が行われる前に不審なパターンを特定するのに役立ちます。

予期しない請求額やAPI利用量の異常な増加も有用な警告サインになりえますが、これらは専用のセキュリティ監視を補完するものであり、主要な検知手段とすべきではありません。

不正防止のため本人確認を強化する

今回の情報流出は、個人情報を本人確認の証拠として頼ることのリスクも示しています。氏名、住所、生年月日、国民識別番号は顧客の特定には役立ちますが、それだけでアカウントへのアクセスや変更の権限を確認できるものではありません。

デンマークの移民局と国際採用・統合庁は、情報流出を受けて、 電話での問い合わせに対する追加の本人確認措置を導入しました。個人識別情報が漏洩した後には、組織が認証手順を強化する必要があることを示す例といえます。

• 機密情報を扱う組織は、より強力な確認方法を用いるべきです。適切な場合はデンマークのMitIDシステム、事前に確認済みのチャネルで送付するワンタイムコード、確立済みの電話番号へのコールバックなどが該当します
• 金融機関、医療機関、政府機関は、パスワードのリセット、アカウントの復旧、機密性の高い顧客情報の変更に関する手順を見直す必要があります
• 情報が漏洩した可能性のある個人にとっては、個人識別番号とその他の識別情報が組み合わされることで、フィッシングやなりすましの試みがより巧妙になる可能性があります
• 影響を受けた可能性のある人々は、デンマーク政府の公式ガイダンスに従い、不審な連絡に警戒し、身元が確認できない電話の相手やメール送信者にパスワードや機密情報を教えないようにしてください
• セキュリティ責任者にとっての最大の教訓は、認証の成功が自動的に信頼を意味してはならないということです

デンマークの事案は、組織にパスワードポリシーにとどまらない多層的な防御が必要な理由を示しています。強力な認証、サードパーティの権限制限、継続的な監視、信頼できる本人確認が連携して機能することで、侵害された認証情報で攻撃者にできることを抑えられます。

盗まれた1つの認証情報が、数百万件の機密記録への無防備な経路になってはなりません。

関連記事：サードパーティのセキュリティリスクを示すもう一つの事例として、eSecurityPlanetの 約3,800万人の顧客に影響したManoManoのデータ侵害に関する記事もご覧ください。侵害されたベンダーを通じて機密性の高い顧客情報が漏洩しうることを示しています。