Denemarken meldt een ernstig incident rond het nationale bevolkingsregister. Volgens het ministerie van digitalisering is via een bedrijfstoegang een CPR datalek ontstaan, waarbij kwaadwillenden gegevens hebben opgevraagd van naar schatting 8,8 miljoen personen. De getroffen gegevens omvatten onder meer namen, adressen en persoonlijke identificatienummers (CPR-nummers).
De crux zit in de toegang: er is gebruikgemaakt van een “legitiem” recht dat een particuliere Deense onderneming heeft om records op te zoeken in het Central Person Register (CPR). Tegelijk blijft onduidelijk hoe onbevoegden precies toegang kregen tot dat account en of de data ook daadwerkelijk is misbruikt of opgeslagen.
Wat is er precies gebeurd met het CPR datalek?
De toegang tot het register duurde volgens de officiële communicatie ongeveer tien dagen in september. Die periode wordt gelinkt aan een kleiner Deens bedrijf dat de gegevens opvroeg via zijn recht om personen één voor één te identificeren. Dat record-zoekgedrag leidde tot signalen die uiteindelijk opgemerkt zijn door de beheerders van het register.
Een medewerker van de administratie van het CPR ontdekte de ongebruikelijke activiteit op vrijdag 2 oktober. Over het weekend werd duidelijk om hoeveel personen het ongeveer ging. Op 5 oktober maakte het ministerie de zaak openbaar en de dataprotectieautoriteit werd geïnformeerd.
Welke data was betrokken?
Het ministerie spreekt over toegang tot namen, adressen en CPR-nummers van ongeveer 8,8 miljoen mensen. Daarbij gaat het om personen die staan ingeschreven in het register: mensen die leven, mensen die naar het buitenland zijn verhuisd, overledenen en anderen binnen de administratie.
Volgens dezelfde toelichting dekt het incident circa vier op de vijf van het totaal (het CPR bevat ongeveer 11 miljoen mensen). Overigens zegt het ministerie dat de toegang niet zag op naam- en adresgegevens van personen met een speciale “name-and-address protection”-status. Bij die bescherming kan het register in veel gevallen de naam en het adres van een persoon niet delen met private partijen of individuen.
Waarom is dit CPR datalek zo gevoelig?
Een datalek wordt extra impactvol wanneer het gaat om identifiers die in veel processen als primaire sleutel dienen. Het CPR-nummer functioneert als een sterke persoonsverwijzer: het bestaat uit 10 cijfers (6 voor de geboortedatum en 4 serienummers, met een bepaald patroon voor geslacht). In de praktijk kan dat nummer worden ingezet om een identiteit te verifiëren.
Dat is ook precies waarom de communicatie van het ministerie vooral waarschuwt voor misbruik: het register-incident creëert een kans op fraude met persoonlijke gegevens, bijvoorbeeld via gerichte social engineering.
Automatische bevragingen en mogelijke ‘gok’-aanpak
De dataprotectieautoriteit geeft aan dat er een zeer groot aantal geautomatiseerde lookups is uitgevoerd om geldige CPR-nummers te achterhalen. Het gaat daarbij om bevragingen die vermoedelijk bedoeld waren om te onderzoeken welke nummers geldig zijn.
De autoriteit beschrijft de nummers als “mogelijk opgehaald” (er is dus nog beoordeling nodig). Belangrijk: noch het datatoezicht noch de ministeriële verklaring legt uit of de bevragingen daadwerkelijk succesvol waren op alle niveaus, of dat er ook data is behouden of gebruikt.
Hoe konden aanvallers aan bedrijfstoegang komen?
Er blijven meerdere open vragen. De publieke verklaringen laten vooralsnog niet zien hoe onbevoegde partijen toegang kregen tot de systemen van het bedrijf, noch wie de daders precies zijn. Daarnaast is nog niet duidelijk of de betrokkenen de data hebben opgeslagen of actief hebben ingezet.
Wat wel naar voren komt, is dat de beveiligingsmaatregelen rondom dit soort registertoegang volgens de minister niet “solide genoeg” zouden zijn. Ook geeft de minister aan dat alarms al eerder hadden moeten afgaan, zeker gezien de duur van de activiteit.
Access blijft binnen de wettelijke regels—maar dat helpt niet altijd
Onder de CPR-wet (zoals die in 2023 van kracht is) mogen bedrijven registerinformatie geleverd krijgen van mensen die ze al één voor één hebben geïdentificeerd. Een CPR-nummer op zichzelf is daarbij voldoende om een persoon te identificeren voor dat doel.
Het type data dat bedrijven mogen ontvangen omvat onder andere huidige naam en adres (mits niet beschermd), en informatie zoals een overlijden, verhuizing naar het buitenland of de aanwezigheid van een credit warning. Het CPR-nummer zelf staat daarbij niet genoemd als onderdeel van de leveringslijst.
Tegelijk wringt hier iets: de verklaringen leggen niet uit hoe één bedrijfstoegang onder die regels kon leiden tot dekking van ongeveer 4 op de 5 personen in het register. Dat betekent dat de casus niet alleen draait om “wet vs. misbruik”, maar ook om hoe beheerprocessen, toegangscontrole en logging in de praktijk worden uitgevoerd.
Wat zegt het datatoezicht en wat gebeurt er nu?
De beheerders hebben de toegang van het betreffende bedrijf stopgezet. Daarnaast is de casus gemeld aan Datatilsynet, de Deense data-beschermingsautoriteit. De politie onderzoekt de zaak eveneens.
Datatilsynet onderzoekt momenteel onder meer:
- wat er precies is misgegaan;
- hoe onbevoegde toegang mogelijk werd;
- wie verantwoordelijk is voor de verwerking en afhandeling.
De minister heeft ondertussen om een volledige security review gevraagd van het register en de manier waarop toegangsrechten en beveiligingsmaatregelen zijn ingericht.
Welke stappen kunnen inwoners nemen na dit CPR datalek?
Het ministerie verwijst mensen naar een overheidsadviessite (sikkerdigital.dk) met een praktische checklist. De kern van de boodschap: ga ervan uit dat criminelen kunnen proberen te frauderen met informatie die zij mogelijk hebben verkregen.
- Wees extra alert op onverwachte sms’jes, telefoontjes en e-mails waarin persoonlijke details over jou worden gebruikt.
- Klik niet op links in berichten die je niet verwacht. Controleer de afzender door zelf naar de officiële website te gaan of het algemene nummer te bellen.
- Deel nooit MitID-gegevens, eenmalige codes, wachtwoorden of kaartgegevens.
- Overweeg een credit warning in te stellen via borger.dk.
Wie hulp nodig heeft, kan daarnaast contact opnemen met de Cyberhotline (een door de overheid beheide hulplijn) met uitgebreidere openingstijden in de dagen rond de bekendmaking.
Credit warning: wat doet het?
Een credit warning werkt als een markering in het CPR. De bedoeling is dat bedrijven die credit of leningen willen verstrekken extra opletten bij identiteitschecks. De werking is dus niet bedoeld om “fraude te stoppen”, maar om bedrijven een signaal te geven dat ze zorgvuldiger moeten verifiëren.
Een nieuwe markering wordt meteen geregistreerd, maar het kan een paar dagen duren voordat de systemen van bedrijven het teken ook daadwerkelijk oppikken. Iedereen van 15 jaar of ouder kan het instellen, en het kan invloed hebben op hoe snel of hoe gemakkelijk kredietaanvragen worden goedgekeurd tot het wordt verwijderd.
Daarnaast benadrukt de registerhandleiding dat het CPR-nummer wel kan helpen bij identificatie, maar niet als enige bewijsbron mag worden gebruikt.
Wat betekenen deze aanwijzingen voor de bredere beveiliging?
Los van de exacte technische route is dit incident een waarschuwing voor een veelvoorkomend probleem: systemen die “legaal” en “toegestaan” gedrag mogelijk maken, kunnen alsnog worden misbruikt wanneer accounts of processen niet voldoende worden beschermd.
Bij dit CPR datalek ging het om langdurige, geautomatiseerde bevragingen. Dat vraagt doorgaans om stevige detectie op ongebruikelijke querypatronen, strikte toegangsbeperking, en duidelijke incidentprocedures richting alle betrokken partijen (beheer van het register, dataprotectieautoriteit en politie).
Als je wilt kijken hoe dataprotectie en security in de praktijk samenkomen bij incidenten, kun je ook het artikel over de groeiende rol van credential layer lezen. Dat helpt om te begrijpen waarom gestolen of misbruikte toegangsgegevens vaak de snelste route vormen naar grootschalige dataproblemen.
Conclusie
Het gemelde CPR datalek in Denemarken laat zien hoe ernstig de gevolgen kunnen zijn wanneer een registertoegang wordt misbruikt via een bedrijfstoegang. Naar schatting kregen onbevoegden toegang tot gegevens van ongeveer 8,8 miljoen mensen, met duidelijke waarschuwingen voor mogelijke fraude.
Datatilsynet en de politie onderzoeken nu wat er precies misging, hoe de toegang tot stand kwam en of de gegevens zijn opgeslagen of gebruikt. Voor inwoners geldt vooral: neem de praktische fraudestappen serieus en overweeg een credit warning om extra verificatiestappen af te dwingen.
Bron: https://thehackernews.com/2026/10/denmark-says-attackers-accessed-cpr.html
