Au moins trois comptes d’une petite société d’Odense, au Danemark, avaient « 123456 » pour mot de passe. D’après la presse danoise, un pirate aurait utilisé ce code pour extraire du registre national de la population le numéro d’identification de 8,8 millions de personnes, avec leur nom et leur adresse.
Comment dit-on « plus c’est gros, plus ça passe » en Danois ?
On vous rapportait l’an dernier que « 123456 » était le mot de passe le plus courant au monde, et le deuxième en France derrière « admin ». Au Danemark, une entreprise informatique de deux salariés aurait protégé avec cette suite de six chiffres son accès au Det Centrale Personregister (CPR). Environ 11 millions de personnes sont inscrites dans ce fichier d’état civil, morts et émigrés compris, pour à peu près six millions d’habitants. Le ministère danois chargé du Numérique a annoncé la semaine dernière que des personnes non autorisées avaient obtenu les données de 8,8 millions d’entre elles. « C’est un incident extrêmement grave », a prévenu la ministre Christina Egelund. Les enquêteurs doivent désormais établir comment une société aussi modeste disposait d’un tel accès au registre, et pourquoi personne n’a repéré ses millions de requêtes avant l’arrivée d’une facture.
Le commerce des données du registre chez Pays ApS
Installée en plein centre d’Odense, sur l’île de Fionie, Pays ApS proposait à ses clients un « nettoyage CPR », d’après une ancienne version de son site consultée par la chaîne TV 2. Ces clients pouvaient faire vérifier leurs fichiers auprès du registre, pour corriger des adresses périmées et repérer les personnes décédées. Le Danemark ouvre ce type d’accès à plusieurs organisations, pour contrôler l’adresse d’un client ou tenir à jour un fichier d’adhérents. L’administration du CPR a d’ailleurs confirmé que les intrus étaient passés par l’accès légal d’une entreprise danoise, sans la nommer.
Pays ne comptait que deux salariés en juillet 2026, d’après le registre danois des entreprises. Ses propriétaires dirigent aussi Charity Guard, et cette société sœur emploie 25 personnes à la même adresse. Dans un courriel envoyé à TV 2 le 9 octobre, Sophie Laursen, directrice et propriétaire de Pays, a reconnu que « notre accès légal à la recherche d’informations dans le système CPR a été abusé ». Elle a ensuite décliné toute interview, par l’intermédiaire de son avocat. Sa société travaille, selon elle, avec la police et les autorités danoises pour retrouver les auteurs.
Quatorze millions de requêtes repérées sur une facture
Un pirate anonyme a revendiqué l’attaque auprès du quotidien Politiken le 8 octobre. Selon lui, l’opération n’avait rien de difficile. Il aurait trouvé le mot de passe d’un ancien employé dans une fuite de données plus vaste, et Pays avait au moins trois profils protégés par « 123456 ». Ces informations concordent avec les investigations de TV 2. L’intrus dit avoir ensuite écrit deux programmes pour interroger le CPR et stocker les réponses hors du registre. Pour l’autorité danoise de protection des données, les numéros CPR ont été testés en série, par force brute, afin de repérer les numéros valides.
Plus de 14 millions de recherches ont été lancées dans le système entre le 11 et le 20 septembre, pour 8,8 millions de numéros récupérés, d’après la chaîne danoise. Politiken compte parmi eux environ 5,5 millions de vivants et 3,3 millions de morts. L’administration du CPR n’a rien remarqué avant le 2 octobre, quand ses services ont constaté une facture anormalement élevée adressée à Pays et coupé l’accès de la société. Le pirate a donc gardé la main sur le compte pendant 21 jours, alors qu’il lui avait suffi de dix jours pour extraire les données. « On pourrait dire qu’elle a vidé la base de données », a résumé auprès de TV 2 Jens Myrup Pedersen, professeur de cybersécurité à l’université d’Aarhus, à propos de la personne derrière l’attaque.
Pour Pieter Arntz, chercheur chez Malwarebytes, le système aurait dû refuser un mot de passe aussi faible, et un tel volume de recherches depuis un seul compte aurait dû alerter l’administration plus tôt. Les personnes inscrites avec une protection de nom et d’adresse ont échappé à la fuite. Les autres peuvent recevoir des SMS ou des appels frauduleux qui citent leurs informations personnelles, et les autorités danoises appellent à la plus grande prudence. Auprès de Politiken, le pirate a affirmé n’avoir aucune intention de vendre ou de publier ces données.
Là, en ce moment, vous devriez être en train de changer tous vos mots de passe, n’est-ce pas ?
