デンマーク政府が管理する中央個人登録簿「CPR」から、約880万人分の個人情報が流出した。侵入の足掛かりになったとみられるのは、CPRの登録情報を照会するサービスを提供していた小規模IT企業「Pays」。同社では、元従業員から漏えいしたとされるパスワード「123456」が使われており、攻撃者を名乗る匿名のハッカーは、侵入は「特に難しくなかった」とデンマーク紙Politikenに語ったという。
本件の第一報（政府発表時点の概要）は「デンマークの中央個人登録簿に不正アクセス 約880万人分の氏名・住所・個人番号など取得、政府は『極めて深刻』」で報じている。本稿はその後判明した侵入経路の詳細を扱う。
事案の詳細
現地メディアによれば、流出したのはCPRに登録された約880万人分の情報で、個人のCPR番号、氏名、住所などが含まれていたとされる。対象には存命者だけでなく、死亡者の情報も含まれると報じられている。
攻撃を受けた可能性があるのは、顧客に代わってCPRの登録情報を照会するサービスを手掛けるPays。攻撃者を名乗る人物は、元従業員から漏えいした認証情報を使って2026年9月11日にログインしたと主張している。Paysでは、管理者用アカウントを含む少なくとも3つのアカウントで同じパスワード「123456」が使われていたという。
ハッカーは、ログイン後に自作のプログラムを2本作成し、CPRの情報を検索・取得したうえで、CPRシステムの外部に保存したと説明している。不正な照会は約1400万回に達したと報じられているが、攻撃者の主張を含む情報もあり、全ての技術的詳細が公的に確定したわけではない。
デンマーク政府が流出を公表した具体的な日付や、流出した情報の全項目、情報が保存された外部環境の詳細、攻撃者の身元については、現時点で確認できる報道だけでは不明である。
影響と背景
約880万人分という規模は、デンマークの人口を上回る可能性がある大きな件数で、存命者と死亡者の情報が含まれるため、CPRに蓄積された登録情報が広範囲に取得されたことを示している。氏名、住所、CPR番号が悪用されれば、なりすましや標的型詐欺などにつながるおそれがある。
今回の侵入は、CPRそのものに直接攻撃するのではなく、正規の照会権限を持つ民間企業を経由したサプライチェーン型の侵害だった可能性がある。単純なパスワードの使い回しに加え、二要素認証などの追加対策がなかったと報じられており、委託先や接続事業者を含めた認証管理の重要性が浮き彫りになった。
対策・今後の展望
- 推測されやすいパスワードを排除する：123456のような単純な文字列や、初期設定のパスワード、過去の従業員が使用していた認証情報を放置しない。
- 多要素認証を導入する：CPRなど重要情報にアクセスするアカウントには、多要素認証を必須化し、パスワードが漏えいしても単独ではログインできない仕組みにする。
- アカウントと権限を棚卸しする：退職者のアカウントを速やかに無効化し、管理者を含む全アカウントのパスワード重複、不要な権限、共有アカウントの利用状況を確認する。
- 照会状況を監視する：短時間に大量の照会が行われた場合に検知・遮断できるよう、アクセスログの監視、レート制限、異常な照会パターンへの自動対応を整備する。
- 委託先の安全管理を強化する：公的情報へ接続する企業に対し、多要素認証、最小権限、定期的な監査、インシデント発生時の報告手順を契約上も求める。
CSRIからの現場アドバイス
【現場で何が起きているか】中小企業の診断やMDR運用支援では、初期パスワードのまま運用されたアカウント、単純な文字列の設定、退職者のアカウントや過剰な権限が残っているケースが確認されます。社外からのログイン試行が短時間に集中したり、通常とは異なる大量のデータ照会が発生したりする兆候は、認証情報の悪用を示す手掛かりになります。
【平易な解説】玄関の鍵を「誰でも思いつく番号」にしたまま、さらにその鍵を使える人を管理していない状態に似ています。パスワードが漏れると、攻撃者は高度な技術を使わなくても正規利用者になりすませる可能性があります。
【今週中にできること】主要アカウントのパスワードが短くないか、推測されやすくないか、他のサービスと使い回されていないかを確認してください。次に、退職者や不要なアカウントを無効化し、管理者アカウントを含む重要アカウントに多要素認証を設定します。加えて、外部からのログイン試行と大量照会のログを確認し、異常があった場合の報告先と初動手順を決めておきましょう。