丹麦CPR数据泄露事件涉事公司使用123456弱密码

至少三个与丹麦 CPR 登记系统大规模泄露事件相关的公司账户使用了“123456”作为密码，其中包括一个管理员账户。

据《政治报》报道，位于菲英岛的 IT 公司 Pays 至少有三个月用户账户在黑客入侵丹麦 CPR 登记系统时使用的是“123456”密码。

其中一个还是该公司的管理员账户。

此次泄露事件暴露了约 880 万个 CPR 号码相关的信息。CPR 系统是丹麦的中央民事登记数据库，存有在丹麦居住或曾登记在册人员的个人信息。

《政治报》审查了据称黑客用来入侵该系统的泄露数据。

奥胡斯大学电气与计算机工程系教授 Jens Myrup Pedersen 形容该公司的密码安全“无可救药”。

“根本谈不上安全，简直就是敞开的门。像‘123456’这种密码，你拿一份常见密码列表来猜，它绝对排在最前面几个，”他对《政治报》表示。

“我很难想象还有比这更糟糕的安全措施。出事只是时间问题。”

总部位于欧登塞的 Pays ApS 周五向 TV 2 证实，该公司就是访问权限遭入侵的企业。

“我们可以确认，我们就是遭受攻击的公司，我们用于在 CPR 系统中查询信息的合法权限被滥用了，”总经理兼所有者 Sophie Laursen 在给 TV 2 的邮件中表示。

黑客从 9 月 10 日起共拥有 CPR 登记系统的访问权限达 21 天 17 小时。

一名匿名黑客周四对《政治报》表示，自己就是此次攻击的幕后黑手，并声称获取访问权限并不特别困难。

据该黑客称，最初是利用丹麦一家小公司前员工泄露的密码获得访问权限的。随后，该黑客据称编写了两个计算机程序，用于从 CPR 系统中提取信息并存储到外部。

黑客对《政治报》表示，没有出售或公开这些信息的计划。

丹麦的私营企业和协会在有正当需求时——例如获取客户或会员的地址信息——可以获批访问 CPR 登记系统中的信息。

根据丹麦中央商业登记处的数据，截至 2026 年 7 月，Pays ApS 有两名员工。