Denemarken schat dat 8,8 miljoen mensen zijn getroffen door een datalek bij het Central Person Register (CPR). Het CPR-register, het nationale systeem voor burgeradministratie, meldt dat aanvallers gegevens hebben kunnen ontvreemden nadat zij gebruikmaakten van toegang die een Deens bedrijf legaal had.
De kern van het incident is daarmee duidelijk: het datalek ontstond niet door “zomaar” een openbare hack, maar via CPR datalek via bedrijfstoegang. CPR geeft aan dat het ondertussen de toegang van het bedrijf heeft beëindigd en een onderzoek is gestart met politie en relevante autoriteiten.
Wat is het CPR en waarom zijn de gegevens zo gevoelig?
Het CPR bestaat sinds 1968 en vormt de basis voor de Deense burgerregistratie. Het systeem bevat gegevens van ongeveer 11 miljoen personen, waaronder inwoners, emigranten en ook overleden personen.
Voor veel overheids- en dienstprocessen zijn identiteits- en adresgegevens cruciaal. In het CPR gaat het daarbij onder meer om namen en adressen, én om het CPR-nummer, dat functioneert als het Deense equivalent van een nationaal identificatienummer.
Hoe ontstond het datalek volgens CPR?
CPR meldt dat hackers de gegevens hebben kunnen exfiltreren nadat zij toegang verkregen via een Duits/Deens (Deens) bedrijf dat onder Deense regels legaal toegang mag hebben tot het register.
Onder Deens recht kunnen private bedrijven met een legitiem belang toegang krijgen tot het CPR om informatie op te vragen over specifieke personen. Daarnaast bestaat er een route waarbij informatie kan worden gevraagd in lijn met de AVG/GDPR en de Deense Data Protection Act.
De ontdekking kwam niet in één klap. CPR geeft aan dat het incident werd opgemerkt op vrijdag, nadat tijdens september abnormaal gedrag in het systeem was gesignaleerd. In het weekend stelde de organisatie vast dat aanvallers toegang hadden tot gegevens van naar schatting 8,8 miljoen geregistreerden.
Welke persoonsgegevens zijn gestolen?
Volgens CPR hebben de aanvallers toegang gehad tot de namen, adressen en CPR-nummers van ongeveer 8,8 miljoen personen. Het gaat zowel om mensen die op dat moment leefden als om overleden personen.
Het is precies deze combinatie die het risico vergroot: met naam + adres + identificatienummer kan fraude gerichter worden uitgevoerd, bijvoorbeeld richting identiteitsmisbruik of het overtuigend beantwoorden van controlevragen in verschillende diensten.
Wie wordt niet geraakt?
CPR benadrukt dat het datalek niet van invloed is op mensen die kozen voor de optie naam- en adresbescherming. Dat betekent dat niet iedereen binnen de geregistreerde populatie hetzelfde niveau van blootstelling heeft.
Wil je de impact inschatten? Neem dan het communicatiebericht van CPR als uitgangspunt en beoordeel of jouw situatie onder de genoemde bescherming valt.
Wat deed CPR direct na ontdekking?
Na het vaststellen van het incident heeft CPR direct actie ondernomen. De organisatie beëindigde de toegang van het betreffende private bedrijf tot het register. Daarnaast meldde CPR het incident bij de Deense Data Protection Agency en startte het onderzoek samen met politie en andere relevante autoriteiten.
Ook gaf CPR aan dat het geen details deelt over de identiteit van de aanvallers: het is niet benoemd welke threat actor achter het datalek zat.
Waarom “bedrijfstoegang” een extra risico kan zijn
Het incident laat zien hoe complex toegangsbeheer kan worden wanneer meerdere partijen legaal toegang hebben tot dezelfde bron. Zelfs wanneer toegang op papier gerechtvaardigd is, blijft de vraag: hoe wordt die toegang gebruikt, en hoe snel valt afwijkend gebruik op?
In deze casus is het misbruik gekoppeld aan de route waarbij een bedrijf onder voorwaarden persoonsgegevens kan opvragen. Dat betekent niet dat de wettelijke toegang zelf onveilig is, maar wel dat organisaties moeten zorgen voor strakke controle op authenticiteit, scope, logging en detectie van ongebruikelijke patronen.
Als je meer wilt lezen over hoe incidenten rond persoonsgegevens in de zorg of het bredere zorgdomein kunnen doorwerken, kan dit artikel helpen: Data breaches in zorg: 250.000 getroffen.
Praktische aandachtspunten voor betrokkenen
CPR roept mensen op om alert te zijn op ongevraagde communicatie waarin om persoonlijke gegevens, wachtwoorden of andere gevoelige informatie wordt gevraagd.
Dat advies is in lijn met een veel voorkomend patroon na een datalek: criminelen proberen met gestolen of vermoede gegevens slachtoffers te overtuigen via social engineering. Houd daarom rekening met de volgende richtlijnen:
- Deel geen wachtwoorden of identificerende gegevens op basis van berichten die je niet verwacht.
- Controleer of een verzoek daadwerkelijk afkomstig is van CPR of een andere officiële instantie.
- Wees extra voorzichtig met noodclaims (“onmiddellijke actie vereist”) en betalingsverzoeken.
Wil je leren herkennen hoe social engineering zich in echte gesprekken kan uiten? Lees dan ook: Social engineering herkennen in live gesprekken.
Wat betekent dit voor organisaties die CPR-achtige toegang beheren?
Voor organisaties die werken met gereguleerde datatoegang—denk aan registers, maar ook aan andere systemen met zakelijke of wettelijke queries—wijst dit incident op drie punten.
- Monitoring op afwijkingen: als “abnormaal gedrag” pas later opvalt, is de kans groter dat er al data is meegegaan.
- Toegang minimaliseren: beperk niet alleen wie toegang heeft, maar ook wat die partij kan opvragen en hoe vaak.
- Snelle reactie: het meteen beëindigen van toegang en het inschakelen van toezichthouders en politie is essentieel om verdere schade te stoppen.
CPR geeft aan dat het zijn beveiligingsbeleid zal herzien en maatregelen zal verbeteren om soortgelijke incidenten te voorkomen. Voor andere partijen is dit vooral een wake-up call: massale databases vragen om “defense in depth”, zeker wanneer legale derden toegang krijgen.
Conclusie
Het CPR datalek via bedrijfstoegang toont hoe groot de impact kan zijn van misbruik van legitieme toegang. Naar schatting zijn gegevens van 8,8 miljoen personen gestolen, waaronder namen, adressen en CPR-nummers—met risico’s voor identiteits- en fraudepraktijken.
CPR heeft de toegang van het bedrijf beëindigd, melding gedaan bij de toezichthouder en een onderzoek gestart. Voor betrokkenen blijft vooral alertheid op phishing en verzoeken om gevoelige informatie van groot belang.
