北京
一个密码，六个数字，牵出了880万人的身份信息风险。这不是段子，是丹麦国家人口登记系统（CPR）被入侵后浮出水面的细节。据称，入侵者在2026年9月进入了这套系统，接触到了约880万人的数据。
更刺眼的是，据当地媒体Politiken称，他们通过加密聊天服务联系上了这名入侵者。对方说，自己用的是某位前员工的登录凭证，而那个账号的密码是——123456。
被撬开的不是大门，是侧门
CPR是丹麦的全国人口登记系统，保存着居住在丹麦的人的姓名、地址、出生日期、国籍和婚姻状况等信息。每个人会被分配一个唯一的10位CPR号码，这个号码在医疗、税务、银行等场景中被广泛使用。
CPR在一份新闻稿中披露，有人“通过滥用一家丹麦公司对CPR系统的合法访问权限”，未经授权进入了系统。按照CPR的解释，有正当利益关系的私营公司可以提前逐一识别特定人群，再从系统中调取这些人的信息。
也就是说，攻击者没有直接攻破CPR，而是从一家有合法查询权限的第三方公司切了进去。这是一次供应链攻击，被访问的是约880万人的姓名、地址、CPR号码及其他信息。
这里有个数字值得停一下：根据Worldometer的数据，丹麦全国人口刚过600万。但CPR表示，它持有约1100万条记录，其中包含已故人员以及居住在海外的人。
十天，1400万次自动查询
最初的新闻稿没有说明攻击者是谁，也没有说明被滥用的是哪家公司，只表示调查仍在进行，CPR已采取措施加强安全防护。
丹麦媒体随后挖出，攻击是通过总部位于菲英岛的Pays ApS进行的。这一说法后来得到了该公司董事总经理Sophie Laursen的确认。Pays拥有访问CPR系统的授权，入侵被发现的过程是：月底时，一名政府雇员看到Pays上个月的活动日志异常偏高。
当地电视台TV 2称，攻击者在十天内运行了1400万次自动查询。Pays的网站一度下线，发稿时已恢复正常运行。
据Politiken称，入侵者表示自己登录后创建了两个脚本，把信息从CPR拉取到一个第三方系统中。据称，共有三个不同的账号被发现在使用同一个简单密码。
这名未被具名的威胁行为者称，他们无意泄露或出售窃取的数据，并表示对系统安全状况之差感到“非常震惊”。
“有人把一只手提箱留在火车站，里面装着10公斤钚。然后一个无家可归的人把它偷走了，”这名黑客说，“是的，你当然不应该偷别人的手提箱。但你也不应该把核材料留在火车站。”
数据没被卖，不等于没有风险
这名威胁行为者向Politiken提供了一份包含CPR号码的文件，媒体借助独立网络安全研究员Emil Hørning确认了其真实性。这名研究员表示，威胁行为者的说法“看起来可信”，他描述的方法“说得通”。
不打算出售或泄露数据，听起来算是克制。但姓名、地址、出生日期，以及用于医疗、税务、银行的CPR号码，都是极有价值的信息，可以被用于高度定制的钓鱼攻击，进而导致勒索软件感染和电汇欺诈。
整件事里最扎眼的不是攻击手法有多高明，而是它有多不高明。三个账号，同一个密码，其中一个还是123456。合法访问权限被滥用，异常日志在月底才被注意到，而系统里躺着的是超过全国人口总数的记录。
供应链上的一个薄弱环节，足以让一个国家级登记系统的大门形同虚设。至于那句“不应该把核材料留在火车站”，大概会被丹麦人记很久。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
