丹麦中央人口登记系统（CPR）近日确认发生一起大规模数据泄露事件，波及约 880 万人。据涉事攻击者向丹麦媒体 Politiken 透露，其入侵途径极为简单：利用一家 IT 公司账户中设置的弱密码“123456”获取了访问权限。
Politiken 报道称，至少有三个公司账户——其中包括一个管理员账户——均使用了相同的默认密码。该攻击者表示，其目的并非出售或公开这些数据。此次泄露涉及丹麦 CPR 系统中约 1100 万条记录中的大部分信息，涵盖在世居民、已故人士及移居海外人员的数据。
位于菲英岛的 Pays ApS 被指为遭滥用的合法访问方。该公司董事总经理 Sophie Laursen 于 10 月 9 日证实，其针对 CPR 系统的访问权限确实遭到滥用。Pays 此前获授权接入该系统，主要业务包括验证企业客户记录等服务。目前，Pays 官方网站已下线，且未回应关于密码安全指控的进一步询问。丹麦政府方面对于具体的密码安全缺陷问题未作详细回应。
根据广播机构 TV 2 获得的文件显示，攻击者早在 9 月 10 日便获得了 CPR 系统的访问权限，并在随后的十天内（9 月 10 日至 9 月 20 日）执行了高达 1400 万次自动搜索请求。然而，这一异常活动直到 10 月 2 日才被发现，此时距离最后一次报告搜索已过去 12 天。
丹麦高等教育和科学部总监 Mikkel Leihardt 在新闻发布会上指出，此次入侵的发现源于内部审计：一名部门员工注意到一份发票显示 Pays 的活动量异常偏高。随后，丹麦数据保护机构 Datatilsynet 于 10 月 4 日接到通知，政府则在次日正式对外披露了这起安全事件。
