据TechRadar报道，丹麦国家人口登记系统CPR于2026年9月遭到未授权访问，约880万人的姓名、地址、出生日期和CPR识别号等数据可能暴露。报道称，攻击者是通过一家拥有合法查询权限的丹麦第三方公司进入系统，且涉事登录凭据中出现了“123456”。

CPR在一份新闻稿中说，有人“滥用一家丹麦公司对CPR系统信息的合法查询权限”进入其系统。CPR解释，有正当利益关系的私营企业可以按预先逐一确认的人员范围，从CPR批量调取信息。按TechRadar的描述，这是一起供应链攻击，第三方公司成为进入人口登记系统的跳板。

CPR是丹麦全国人口登记系统，保存居住在丹麦人员的姓名、地址、出生日期、国籍和婚姻状况等信息，并为每人分配一个10位CPR号码。该号码广泛用于医疗、税务和银行等场景。TechRadar称，Worldometer数据显示丹麦人口刚超过600万，但CPR表示其保存约1100万条记录，其中包括已故人员和居住在海外的人。

最初的新闻稿没有说明攻击者身份，也没有点出被滥用的公司，只表示调查仍在进行，CPR已采取措施加强安全。丹麦媒体随后发现，攻击经由位于菲英岛的Pays ApS实施，Pays总经理索菲·劳尔森后来确认了这一说法。Pays获准访问CPR系统，入侵被发现是在当月底，一名政府雇员看到Pays前一个月的活动日志异常高。丹麦地方电视台TV 2称，攻击者在十天内运行了1400万次自动查询。Pays网站一度下线，发稿时已恢复正常。

丹麦媒体Politiken称，其通过加密聊天服务与攻击者交谈。这名未具名的威胁行为者说，他使用了Pays一名前员工的登录凭据，密码为“123456”，登录后创建了两个脚本，将CPR信息拉取到第三方系统。据称，有三个独立账户都使用了同一简单密码。该威胁行为者确认无意泄露或出售窃得数据，并称对安全状况“真的感到震惊”。他形容说：“有人把装了10公斤钚的手提箱落在火车站，然后一个无家可归者把它偷走。是的，当然你不该偷别人的手提箱。但你也不该把核材料留在火车站。”

Politiken称，该威胁行为者向其提供了一份包含CPR号码的文件，媒体借助独立网络安全研究员埃米尔·赫尔宁确认其真实性。赫尔宁说，该威胁行为者的说法“看起来可信”，其描述的方法“可行”。TechRadar指出，这些姓名、地址、出生日期以及用于医疗、税务或银行的CPR号码，可用于高度定制的网络钓鱼攻击，并可能导致勒索软件感染和电汇欺诈。