在黑客入侵丹麦中央个人登记系统（CPR）时，位于菲英岛（Funen）欧登塞（Odense）的IT公司派斯（Pays）至少有3个用户账号使用了密码“123456”，其中还包括一个管理员账号。此次事件暴露了约880万个与CPR号码相关的信息。据《政治报》（Politiken）报道，该报审查了据称黑客用于入侵系统的数据，而奥胡斯大学（Aarhus University）电气与计算机工程系教授延斯·米鲁普·佩德森（Jens Myrup Pedersen）称，该公司几乎没有密码安全防护。

据《Politiken》报道，在黑客入侵丹麦CPR登记系统时，位于菲英岛的IT公司Pays至少有3个用户账户使用了密码“123456”，其中一个是该公司的管理员账户。此次泄露涉及约880万个CPR号码的相关信息。CPR系统是丹麦的中央民事登记数据库，包含在丹麦居住或曾登记人员的信息。《Politiken》查看了黑客 allegedly 用于入侵系统的数据。

奥尔胡斯大学电气与计算机工程系教授Jens Myrup Pedersen称该公司的密码安全“毫无希望”。“实际上没有任何安全可言，这是一扇敞开的门。像‘123456’这样的密码，如果你拿一份常见密码清单去试，是最先会猜到的密码之一，”他说，“我想不出还能有比这更差的安全措施。出问题是迟早的事。”

总部位于欧登塞的Pays ApS周五向TV 2确认，其访问权限被滥用。董事总经理兼所有者Sophie Laursen在发给TV 2的邮件中说：“我们可以确认，我们就是那家遭到攻击的公司，我们在CPR系统中搜索信息的合法访问权限被滥用了。”

黑客从9月10日起进入CPR登记系统，持续共计21天17小时。一名匿名黑客周四告诉《Politiken》，其实施了此次攻击，并称入侵并不特别困难。该黑客称，最初是利用一家丹麦小公司前雇员泄露的密码进入系统，随后编写了两个计算机程序，从CPR系统检索信息并存储到外部。该黑客告诉《Politiken》，没有出售或公布这些信息的计划。

私营企业和协会在有合法需要时（例如获取客户或会员的地址信息）可以获得丹麦CPR登记系统信息的访问权限。根据丹麦中央企业登记局的数据，截至2026年7月，Pays ApS有两名员工。

• 据TV 2获得的文件，一名未经授权的用户在丹麦国家民事登记系统（CPR）中拥有访问权限近22天后，当局才发现这起安全漏洞。

访问从9月10日开始，到10月2日被终止，持续21天17小时。不过，CPR办公室向丹麦数据保护局提交的一份报告显示，初步调查表明，未经授权的活动在9月20日左右就结束了，大约是开始后的10天。

研究、教育与数字化部周一宣布，约880万人的个人信息被泄露，包括姓名、地址和CPR身份号码。泄露是通过一家拥有该登记系统合法访问权限的丹麦小公司发生的。据DR报道，该公司位于菲英岛，与一家更大的企业共有所有权和地址，其身份尚未公开确认。

当局是通过该公司账户检索产生的异常巨额账单发现此事的。使用该公司的访问凭证进行了约1400万次CPR检索。“这个数字远远超过该公司的客户群，该公司表示这些查询并非他们自己进行，”CPR办公室在报告中说。私营企业和组织可以付费访问某些CPR信息。

温和党（Moderates）的研究、教育与数字化部长Christina Egelund承认，安全措施一直不足。她已要求在泄露后对该登记系统进行安全审查。截至周五上午，该公司尚未回应DR的置评请求。

• 一名匿名黑客声称对访问近880万个丹麦CPR号码负责，并告诉《Politiken》报，是一个弱密码让这次泄露成为可能。

CPR号码是丹麦国家民事登记系统中用于识别居民和获取公共服务的个人身份号码。该黑客告诉《Politiken》，泄露发生在9月11日，通过一家拥有CPR登记系统访问权限的丹麦小公司得手。据该黑客称，进入系统是利用了一家前雇员泄露的密码，据报道密码就是“123456”。进入后，该黑客称编写了两个计算机程序，从系统中检索CPR信息并存储到外部。

此人的身份未公开，其说法也未获独立证实。该黑客告诉《Politiken》，没有出售或公布这些个人身份号码的计划，并对遇到的安全漏洞感到“非常震惊”。为说明情况，该黑客将其比作有人把危险材料随意放置不管。“有人把装有10公斤钚的手提箱落在火车站无人看管。然后一个无家可归者偷走了它，”该黑客说，“是的，你当然不该偷别人的手提箱。但你也不该把核材料留在火车站。”

该黑客向《Politiken》提供了一个包含这些CPR号码的文件。该报将文件转给了丹麦网络安全公司Defend Denmark的IT安全专家Emil Hørning。Hørning表示，黑客的说法似乎可信，所述方法也合理。《Politiken》是通过加密通信服务用英语采访该黑客的。

• 温和党的数字化部长Christina Egelund预计，很快能提供更多关于丹麦CPR系统安全审查的细节。

“我希望能在很短时间内更具体地说明CPR系统的未来会是什么样子，”Egelund对Ritzau说。部长周一宣布，已对整个中央个人登记系统（即CPR）启动重大安全审查。

此次审查是在一起安全泄露之后进行的：未经授权的人在10天内访问了880万在世和已故人员的CPR号码及其他个人信息。CPR号码是丹麦当局和企业使用的个人身份号码。这起泄露引发了疑问：人们是否应该获得新的CPR号码，或者整个系统是否需要重新设计。Egelund此前表示，现在确定是否需要发放新号码还为时过早。她说，审查必须首先确定现有系统是否能得到更好保护，然后当局将考虑此次泄露是否需要对CPR系统进行更广泛的彻底改造。

• 自当局披露重大数据泄露以来，在国家CPR登记系统中登记了信用警示的丹麦人数量几乎增加了两倍。

数字事务部表示，截至10月7日，约有97万人登记了警示，而10月1日这一数字还不到25万。“丹麦人认真对待了这一情况，并按照政府和当局给出的建议采取了行动，”温和党数字事务部长Christina Egelund说。

信用警示会让他人更难冒用某人名义获得贷款或信贷，它要求企业在批准申请前进行额外的身份检查。社会安全局（Agency for Societal Security）建议有具体理由怀疑欺诈的人设置警示。

未经授权方在9月的10天内，通过滥用一家丹麦小公司对CPR系统的合法访问权限，获取了880万人的信息。当局是在该公司收到异常巨额账单后发现此活动的，因为每次检索登记系统都要收费。该公司身份尚未确认，当局也不知道责任人是谁。Egelund说，现在确定受影响者是否需要新的CPR号码仍为时过早，CPR号码是丹麦的个人身份号码。

• 据丹麦工业联合会（DI）称，涉及近900万人CPR号码的泄露如果导致对该登记系统的访问受到限制，可能会增加丹麦企业的行政成本。

CPR登记系统是丹麦的民事登记系统。银行、保险公司和失业保险基金用它来识别客户、员工和会员。“如果企业的访问被关闭或严重受限，大量信息将不得不改为人工收集和核对，”DI网络安全专家Jeppe Engell在一份新闻稿中说，“这既会增加企业的行政成本，也会增加出错、客户数据过时和认错人的风险。”

周一，研究、教育与数字化部在其网站上宣布，未经授权的人非法访问了丹麦近900万人的CPR号码。

• 当局周二表示，在未经授权方访问了CPR登记系统中880万人的信息后，丹麦企业和组织应使用其他方法核实人们身份。

“必须料到，现在已经不能再凭CPR号码来证明自己的身份了，”公共安全局（Samsik）局长Laila Reenberg说，“再也不能认为，只要你拿到一个CPR号码，就识别出了某个特定公民。这就是这次泄露的后果。”

未经授权方在9月的10天内，通过一家拥有CPR系统访问权限的丹麦小公司收集了信息。当局是在该公司因大量检索而被开具账单时发现此活动的。CPR系统包含在丹麦居住者的信息，也包含已故或移居国外者的信息。CPR号码有时被用于识别打电话给医生或从药房取处方药的人。

Samsik建议使用其他身份识别方式，包括MitID、双因素认证或通过短信或电子邮件发送的一次性代码。“不能把它用于授权购买东西或接收敏感个人数据，”Reenberg在谈到CPR号码时说。研究、教育与数字化部部门负责人Mikkel Leihardt说，正在对CPR系统启动整体安全审查。“必须强调，被访问的信息是姓名和地址。还有其他信息未被访问，”Leihardt说，“作为一个系统，CPR是完好的。”Reenberg说，当局还针对关键国家IT系统采取了措施。

• 在丹麦取处方药的人可能会被要求出示身份证件，因为药房正在应对CPR登记系统中880万人信息遭未经授权访问的事件。

代表丹麦药房的丹麦药剂师协会（Danmarks Apotekerforening）表示，药房在配药和提供健康信息时正在加强核查，特别是有滥用风险的药品。“实际上，这意味着取药时通常仅报出自己的CPR号码将不够，”该协会说。顾客可能会被要求出示实体或数字健康卡，或回答验证问题。代人取药时也可能适用额外核查。该协会说，最简单的方法是带上该人的健康卡或其他身份证件，否则药房可能会问验证问题。

这些变化遵循了丹麦公共安全局（Samsik）的建议。“必须料到，现在已经不能再凭CPR号码来证明自己的身份了，”Samsik局长Laila Reenberg周二说。丹麦全科医生协会（PLO）也已要求其成员遵循Samsik的建议。Samsik表示，当使用CPR号码、姓名或地址来确认某人身份时，当局、组织和公司应更加注意，通常应使用其他信息进行身份核查。

未经授权的人在9月的10天内，通过滥用一家丹麦私营公司对CPR系统的合法访问权限，收集了880万在世、已故和移居国外者的信息。此事件已报告给丹麦数据保护局（Datatilsynet）。国家特别犯罪部门（NSK）正在调查此案。

• 一名官员周二表示，一张异常巨额的账单让丹麦当局发现，未经授权的人访问了880万人的个人记录。

一家丹麦小公司拥有搜索国家CPR登记系统的合法权限。每次检索都要收费，大量活动产生了巨额账单。“有一笔非常大的金额被开具账单，这让人意识到有过大量活动，”研究、教育与数字化部部门负责人Mikkel Leihardt说。

未经授权的用户在9月滥用该公司的访问权限约10天。当局尚未确认这家公司的身份。Leihardt说，被访问的信息主要是姓名和地址。CPR系统是丹麦的国家个人信息登记系统。当局还不知道责任人是谁，也不知道该公司的访问权限是如何被攻破的。

“目前说谁是幕后黑手、使用了什么方法还为时过早，”丹麦国家特别犯罪部门（NSK）的Henriette Erbs说。她表示，此类案件往往涉及跨境犯罪。丹麦公共安全局（Agency for Public Security）局长Laila Reenberg说，数字欺诈是一个明显的可能动机。但她表示，当局还不知道是谁收集了这些数据，也不知道他们打算如何使用。

• 在国家CPR系统的880万条记录遭未经授权访问后，丹麦的网络热线将在未来几天延长服务至午夜。

据社会安全局（Agency for Societal Security）表示，热线将从上午8点运营到午夜，而平时工作日下午8点就关闭。该热线就数字安全、欺诈和网络攻击向居民和企业提供咨询，也能帮助身份被冒用的人。如果居民具体怀疑自己的CPR号码正被用于欺诈，可以获得帮助创建信用警示。信用警示会提醒企业在批准贷款或信贷前进行额外的身份检查，使金融身份盗用更加困难。

当局在10月2日检测到CPR系统中的异常活动。未经授权的人在9月滥用一家丹麦私营公司的合法访问权限，获取了姓名、地址、CPR号码及其他信息。这些记录涵盖在世和已故者，以及已移居国外者。丹麦数据保护局（Datatilsynet）表示，自动检索似乎是为了识别有效的CPR号码。丹麦国家特别犯罪部门（NSK）正在调查，当局尚未确认责任人。温和党数字化部长Christina Egelund敦促居民保持警惕。当局建议人们切勿向未经索要的来电者或信息发送者提供密码或其他机密信息。

多数人用震惊和讽刺看待这起泄露：一家两人 IT 公司靠形同虚设的弱口令，加上 22 天无监控、无速率限制的 CPR 库批量访问，几乎搬空了全国个人身份信息，且只因查询账单异常才被发现；分歧主轴是，社区在嘲笑弱密码与系统设计愚蠢的同时，对“谁该负责”争论激烈——有人要追究具体公司和个人，更多人认为根因是机构缺乏 MFA、审计与监管，以及把 CPR 号码这种本应公开的标识同时当作秘密认证凭证来用。

认为弱口令和基础防护缺失暴露了系统的荒唐

• 许多评论以难以置信的口吻指出，那道口令弱到像行李箱默认组合，连最基本的口令强度控制都没有；有人反问是否部署了 MFA，或讽刺“要是强制 8 位密码就好了”“密码强度算法本可拦下这种口令”。（认可度：较多人）
• 代表性的社区玩笑是： > “这正是蠢货才会设在行李箱上的那种密码。”（@wrecked_em）

认为真正的失控来自无监控、无限速、无审计与监管缺位

• 弱口令只是入口，真正让事态失控的是：第三方获准访问 CPR 库后，在 22 天内可以毫无监控、无限流地批量下载全部记录，峰值约每小时 1.6 万次；系统对“试图访问所有记录”没有任何告警或限制。（认可度：较多人）
• 事件并非被安全控制发现，而是因为查询服务的账单金额过大才暴露，这进一步说明检测与审计完全缺席。（认可度：较多人）
• 因此有人主张，对所有被授予民事登记库访问权限的第三方应定期按最佳实践审计，就像支付系统参与方接受 PCI 审计一样；也有人质问为何政府连基本能力监督和最佳实践都缺位。（认可度：较多人） > “获得民事登记库访问权限的第三方，应像 VISA、MasterCard 等支付系统参与方接受 PCI 审计那样，定期按当下最佳实践接受审计。”（@sokols）
• 少数人对比荒诞现实：私营公司可以随意泄露数据，员工却常因国家 IT 供应商以“安全”为由拦截工作所需软件而寸步难行，认为安全治理严重失衡。（认可度：少数人）
• 还有少数声音呼吁公开根因复盘，并提到瑞典 Svedala 市遭勒索软件攻击后至今未公布根因，认为业界不能总是无复盘地翻篇。（认可度：少数人）

认为不该只让个人或底层员工背锅，系统与组织才是责任方

• 有明确反对把责任推给某个用户的观点：接受这种弱口令为有效的系统本身就是失职；员工往往处在“安全部门只求安全、业务方只求效率”的拉扯中，若上层管理者不懂平衡优先级，安全部门又会压制一切质疑。（认可度：较多人） > “把责任推给个人用户很容易，但任何由无能者设计、却接受这种口令为有效的系统，遭到入侵都是活该。”（@caaqil）
• 更有人强调应把责任分散到整个链条：批准第三方接入的人、监管团队、未要求进一步核查的人乃至媒体焦点都有责任；但现实总是把最底层、甚至发现并上报问题的人开除了事，这是领导力与制度的腐朽。（认可度：少数人）
• 因此正确的做法不是找替罪羊，而是彻底重组核查机制、把问责分配给所有责任方并修复领域本身；也有人希望那家 IT 公司能被公开追责，而不是只处理个人。（认可度：少数人）

认为 CPR 号码被错误地同时当作公开标识和认证秘密才是根本设计缺陷

• 更大的问题不是这家公司，而是 CPR 号码的用法：它本是用于识别个人的唯一编号，却又常被当作认证秘密来保管；两种用途天然冲突，注定会出问题。（认可度：少数人）
• 丹麦其实已有 MitID 这一真正的国家级认证方案，因此 CPR 号码早就该被视为公开信息，绝不该仅凭它就能获取信贷或完成认证；一个坚持把 CPR 当敏感信息的系统才是主要责任方。（认可度：少数人） > “把 CPR 号码这种本应公开的标识同时用于认证并当作秘密，注定会出问题；既然已有 MitID，CPR 早该被视为公开信息，而不该单独用于获取信贷之类。”（@ptnpzwqd）

有价值的补充

• CPR 是中央个人登记册（英文名为 Central Person Register）的缩写，是丹麦分配给每位居民和公民的 10 位唯一身份与社会保障号，功能类似美国的社会安全号。（@donalhunt）
• 精巧类比：有评论讽刺英文词 Government 里根本没有代表“安全”“能力”“系统设计”的字母（S、C、D），暗指政府 IT 既无安全、也无能力、更无系统设计。（@eviks）