- 攻撃者は弱い認証情報を使い、第三者企業を経由してデンマークの住民登録システムにアクセスしたと報じられている
- CPR番号を含む約880万人分のデータが流出した可能性がある
- 今回の侵害は第三者企業のセキュリティ上の深刻な不備を浮き彫りにしており、報道では「123456」のようなパスワードが使われていたとされる
デンマークの国民住民登録システムが保有するデータは、非常に強力で極めて破られにくいパスワード、「123456」で守られていたとされています。
この主張は、2026年9月に同登録システムへ侵入し、880万人分のデータにアクセスしたとされる人物によるものです。
パスワードがないも同然
デンマーク中央個人登録簿（CPR）は同国の国民住民登録システムで、デンマーク在住者の氏名、住所、生年月日、国籍、婚姻状況といった個人識別情報を管理しています。
国民一人ひとりに固有の10桁のCPR番号が割り当てられており、医療、税務、銀行業務などで広く使われています。
CPRは報道発表で、何者かが「デンマーク企業に認められたCPRシステムの検索権限を悪用して」システムに不正アクセスしたと明らかにしました。
CPRによると、正当な利用目的を持つ民間企業は、あらかじめ個別に特定した「比較的規模の大きい限定的な人々のグループ」についての情報をCPRから取得できます。
つまり今回の事案は、何者かが民間の第三者企業を経由して、約880万人分の氏名、住所、CPR番号などの情報にアクセスしたサプライチェーン攻撃です。興味深いのは、Worldometerによればデンマークの総人口は600万人強にすぎない一方で、CPRは死亡者や海外在住者を含めて約1100万件の記録を保有しているとしている点です。
当初の報道発表では、攻撃者が誰なのか、どの企業が悪用されたのかは明かされませんでした。CPRは調査が続いていると説明し、セキュリティ体制の強化に着手したとしています。しかしデンマークのメディアが、攻撃はフュン島に拠点を置くPays ApSを通じて行われたことを突き止め、同社の専務取締役Sophie Laursen氏が後にこれを認めました。
PaysはCPRシステムへのアクセスを認められていました。侵入が発覚したのは月末で、政府職員が前月のPaysからのアクセスログに異常な多さの活動を見つけたことがきっかけです。地元テレビ局TV 2によると、攻撃者は10日間で1400万回の自動検索を実行しました。この間、Paysのウェブサイトは一時オフラインになりましたが、記事執筆時点では通常どおり稼働しています。
「本当に衝撃的」
話はさらに続きます。地元紙Politikenは、暗号化チャットサービスを通じて攻撃者と話したと伝えています。名前が明かされていないこの攻撃者は、元従業員のログイン認証情報を使ったと述べており、そのパスワードは「123456」でした。ログイン後、攻撃者は2つのスクリプトを作成し、CPRから情報を抜き出して第三者のシステムに移したといいます。
報道によると、同じ単純なパスワードを使っていたアカウントは3つ見つかりました。攻撃者は、盗んだデータを漏えいさせたり売却したりするつもりはないと明言し、セキュリティ体制のお粗末さに「本当に衝撃を受けた」と付け加えました。
「誰かが10キロのプルトニウムが入ったスーツケースを駅に放置した。それをホームレスの人が盗んだ、というようなものだ」と、このハッカーは語りました。「もちろん他人のスーツケースを盗んではいけない。だが、核物質を駅に放置するべきでもない」
攻撃者は同紙にCPR番号を含むファイルを提供し、同紙は独立系のセキュリティ研究者Emil Hørning氏の協力を得て、その真正性を確認しました。同氏は、攻撃者の説明は「信頼できるように見える」と述べ、語られた手口は「あり得るもの」だとしています。
データを売却も漏えいもしないという姿勢は称賛に値しますが、攻撃者がデータを利用しないとは述べていない点には注意が必要です。氏名、住所、生年月日に加え、医療、税務、銀行業務で使われるCPR番号は、いずれも非常に価値の高い情報です。標的を絞り込んだ巧妙なフィッシング攻撃に悪用され、ランサムウェア感染や送金詐欺につながるおそれがあります。
