Wachtwoord 123456 zou gegevens van 8,8 miljoen Denen hebben blootgelegd
Via de toegang van een Deens bedrijf kreeg iemand de gegevens van 8,8 miljoen mensen uit het Deense bevolkingsregister in handen. Volgens het verhaal van de aanvaller in de krant Politiken was het wachtwoord 123456.
Wat er gebeurde
Iemand heeft de namen, adressen en persoonsnummers van zo’n 8,8 miljoen mensen uit het Deense bevolkingsregister binnengehaald. Daarvoor hoefde het register niet gekraakt te worden: de aanvaller gebruikte de toegang van een klein Deens bedrijf dat erin mocht zoeken.
Het Deense ministerie van Onderzoek, Hoger Onderwijs en Digitalisering maakte het lek op 5 oktober bekend. Het register, het CPR, bevat zo’n 11 miljoen mensen, ook overleden en geëmigreerde Denen; daardoor is het aantal hoger dan de bevolking. Mensen met een afgeschermd adres zijn niet geraakt. De aanval liep in september en viel het CPR-kantoor pas op vrijdagavond 2 oktober op, volgens Deense media door een ongewoon hoge rekening voor een klein bedrijf. Uit documenten in handen van tv-zender TV 2 blijkt dat er in tien dagen zo’n 14 miljoen automatische zoekopdrachten waren gedaan. De Deense privacytoezichthouder spreekt van een vorm van brute force: de aanvaller probeerde nummers uit en haalde bij elk geldig nummer de gegevens op.
Het bedrijf is afgesloten, de politie onderzoekt de zaak en minister Christina Egelund liet de beveiliging van het hele register doorlichten. Ze noemde het een zeer ernstig incident. Burgers kregen het advies op hun hoede te zijn voor telefoontjes en mails van mensen die hun gegevens al lijken te kennen.
Op 8 oktober bracht de krant Politiken het verhaal van iemand die zegt achter de aanval te zitten. Die zou op 11 september zijn binnengekomen met het gelekte wachtwoord van een oud-medewerker van het bedrijf: 123456. Volgens Politiken gebruikten zeker drie accounts bij het bedrijf, waaronder een beheerdersaccount, dat wachtwoord. De aanvaller zegt de gegevens niet te verkopen of te lekken, en deelde een bestand met de nummers met de krant. Beveiligingsonderzoeker Emil Hørning vindt het verhaal geloofwaardig; de autoriteiten hebben het wachtwoord niet bevestigd. Minister Egelund erkende wel dat de beveiliging rond het register niet goed genoeg was.
Geef nooit een wachtwoord of andere vertrouwelijke gegevens door, ook niet als iemand je naam, adres en CPR-nummer al kent.
Het advies van de Deense overheid aan burgers, 5 oktober 2026, samengevat
De achtergrond
Waarom het nummer geen geheim is
Denemarken heeft het CPR sinds 1968. Iedereen die er ingeschreven staat, krijgt een nummer van tien cijfers: eerst de geboortedatum, dan vier cijfers, waarvan de laatste even is voor vrouwen en oneven voor mannen. Het nummer zit in zo’n beetje alles, van de zorg en de belasting tot de bank.
Juist omdat het nummer begint met je geboortedatum, is het te raden. Dat past bij de verhouding in dit lek: van de ruim 14 miljoen zoekopdrachten leverden er zo’n 8,8 miljoen een persoon op. De Deense beveiligingsspecialist Jan Kaastrup noemt het daarom onhoudbaar om het nummer als geheim te behandelen: een nummer alleen mag nooit bewijzen wie je bent. De autoriteiten raden organisaties nu aan klanten niet op hun CPR-nummer alleen te herkennen, maar met MitID, de Deense digitale identiteit, of een eenmalige code.
Hoe bedrijven bij het register komen
Volgens de Deense wet mogen bedrijven met een gerechtvaardigd belang gegevens uit het CPR opvragen, bijvoorbeeld om de adressen van klanten of leden bij te houden. Die toegang is bedoeld voor een vooraf bepaalde groep mensen, die elk afzonderlijk bekend zijn. Bedrijven betalen voor wat ze opvragen, en daardoor viel het lek uiteindelijk op. Hoe één klein bedrijf miljoenen keren kon zoeken zonder dat er een rem op zat, hebben de autoriteiten nog niet uitgelegd.
Eerder ging het ook via een leverancier
Wat de aanklager de grootste hackzaak uit de Deense geschiedenis noemde, draaide ook om een buitenstaander met toegang. In 2012 drongen Gottfrid Svartholm Warg, medeoprichter van The Pirate Bay, en een Deense handlanger binnen bij IT-bedrijf CSC, dat overheidsregisters beheerde. Ze kwamen bij het rijbewijzenregister, het CPR en het opsporingsregister van de Schengenlanden, met inloggegevens van politiemensen. In 2014 kreeg Svartholm Warg drieënhalf jaar cel.
Onze analyse
Niet het wachtwoord, maar de ontbrekende rem is het verhaal
Het wachtwoord 123456 maakt een pakkende kop, maar het komt uit het verhaal van de aanvaller. Wat vaststaat, is leerzamer. Eén klein bedrijf, dat zijn toegang had voor een vaste groep klanten, kon in tien dagen ruim 14 miljoen keer zoeken, en niemand merkte het tot de rekening kwam. Ook met een sterk wachtwoord had een gestolen inlog dezelfde reikwijdte gehad.
Dat is het patroon bij toegang voor leveranciers. Er wordt gecontroleerd wie toegang krijgt, maar zelden hoeveel die toegang wordt gebruikt. Een plafond per klant en een alarm bij ongewone aantallen hadden deze aanval op de eerste dag gestopt, wat het wachtwoord ook was. En een tweede inlogstap, zoals een code op de telefoon, had een gelekt wachtwoord waardeloos gemaakt. Klopt het verhaal van de aanvaller, dan werkte bovendien de inlog van iemand die al weg was. Dat is op zichzelf al een les.
Voor de 8,8 miljoen mensen in het bestand begint het risico nu pas: een oplichter die je naam, adres en nummer kent, klinkt overtuigend. Onze inschatting: meer registers en platforms gaan per account een plafond en een alarm instellen. Wie zelf gevoelige gegevens via een koppeling deelt, kan daar beter nu mee beginnen.
Wat opvalt
- De rekening bracht het aan het licht Het CPR-kantoor zag het lek volgens Deense media pas door een ongewoon hoge factuur voor een klein bedrijf, niet door een beveiligingsalarm.
- Zestien opvragingen per seconde vielen niet op Zo’n 14 miljoen automatische zoekopdrachten in tien dagen komt neer op gemiddeld ruim zestien per seconde. Een alarm ging daar niet van af.
- Het nummer is te raden Een CPR-nummer is je geboortedatum plus vier cijfers. Van de ruim 14 miljoen zoekopdrachten was ongeveer 8,8 miljoen raak.
- Het wachtwoord komt van de dader Het wachtwoord 123456 en de oud-medewerker komen uit het verhaal van de aanvaller. Een onderzoeker vindt het geloofwaardig, de autoriteiten bevestigen het niet.
Wat het voor jou betekent
Elke leverancier die bij jullie gegevens kan, is ook een weg naar binnen voor wie zijn toegang overneemt.
- Toegang van een ander is ook jouw risico De aanvaller hoefde het register niet te kraken. De inlog van een bedrijf dat er mocht kijken, was genoeg.
- Eén zwak wachtwoord kan genoeg zijn Klopt het verhaal van de aanvaller, dan opende een simpel wachtwoord de deur. Vraag je leveranciers of ze inloggen met een tweede stap, zoals een code op hun telefoon.
- Let op wat er wordt opgehaald De aanval liep wekenlang voordat iemand het zag. Houd in de gaten hoeveel gegevens een account ophaalt; ongewoon veel is een reden om aan de bel te trekken.
Wat wij ermee kunnen · Ondersteuning
We houden bij wie waar bij kan
Met Ondersteuning toetsen we doorlopend wie er toegang heeft tot wat jullie collega’s met AI bouwen: accounts, sleutels en externe diensten. Elk punt dat aandacht vraagt, wordt een taak met een eigenaar, zodat het niet blijft liggen.
Weet je welke leveranciers bij jullie gegevens kunnen?
Vertel ons hoe het bij jullie geregeld is. We kijken met je mee en reageren altijd binnen één werkdag.
