Danimarca, violato il registro anagrafico CPR: 8,8 milioni di numeri esposti tramite un fornitore con password “123456”

Per una decina di giorni, a settembre 2026, qualcuno ha interrogato il registro anagrafico centrale della Danimarca (CPR) con le credenziali di Pays ApS, una società informatica di Odense con due dipendenti e un accesso legittimo al registro. Il ministero danese per la digitalizzazione ha reso pubblica la violazione il 5 ottobre: circa 8,8 milioni di numeri CPR esposti, con i nomi e gli indirizzi collegati. Il 10 ottobre il quotidiano Politiken ha aggiunto il dettaglio che ha fatto il giro dei siti di settore: almeno tre account di Pays, compreso quello amministratore, usavano la password “123456”.

Cos’è il CPR

CPR sta per Det Centrale Personregister, il registro centrale delle persone. È l’anagrafe nazionale danese ed esiste dal 1968, quando i registri dei singoli comuni sono stati unificati in un archivio unico. Lo gestisce il CPR-kontoret, un ufficio statale che oggi fa capo al ministero competente per la digitalizzazione.

Ogni persona iscritta all’anagrafe danese ha un numero CPR di dieci cifre. Le prime sei sono la data di nascita (giorno, mese, anno), le altre quattro un progressivo; l’ultima cifra è pari per le donne e dispari per gli uomini. Il numero si riceve alla nascita o all’iscrizione anagrafica e non cambia per tutta la vita. Nel registro restano anche le persone decedute o emigrate, ed è per questo che i numeri esposti (8,8 milioni) sono molti più degli abitanti della Danimarca, circa 6 milioni.

Per un lettore italiano il paragone più vicino è un incrocio fra codice fiscale e ANPR. Con una differenza che pesa: in Danimarca il numero CPR è la chiave di quasi tutto. Lo usano fisco, sanità, scuole, banche, assicurazioni, operatori telefonici e sindacati. Per anni molte organizzazioni lo hanno trattato come un dato riservato e lo hanno chiesto al telefono o allo sportello per riconoscere il cliente. Il numero però non è mai stato pensato come una credenziale. Chi lo conosce, insieme a nome e indirizzo, può farsi passare per un altro in tutti i servizi che si fermano a quel controllo.

Al registro accedono anche soggetti privati, a pagamento, per ricerche come la verifica dell’indirizzo di un cliente o di un iscritto. Le organizzazioni con un accesso attivo sono 1.039: società finanziarie, compagnie telefoniche, studi legali, sindacati, assicurazioni. Pays era una di queste.

Come è andata

• 10 settembre 2026: iniziano le interrogazioni anomale con l’utenza di Pays. Secondo l’indagine preliminare si fermano intorno al 20 settembre, ma l’accesso resta aperto fino al 2 ottobre, per 21 giorni e 17 ore in tutto.
• In circa dieci giorni partono 14 milioni di ricerche, una parte su numeri inesistenti. È una scansione sistematica del registro, molto oltre il volume di lavoro di una società con due dipendenti.
• 2 ottobre: le autorità si accorgono del problema mentre preparano la fattura per le ricerche di Pays, che risulta molto più alta del normale. Ogni interrogazione ha un costo, e a far scattare l’allarme è stato quel conto, non un sistema di monitoraggio.
• 5 ottobre: il ministero annuncia la violazione. Secondo il ministero sono stati consultati numero CPR, nome e indirizzo, non altre informazioni del registro.
• Un hacker anonimo ha rivendicato l’attacco con Politiken. Dice di essere entrato con le credenziali di un ex dipendente di Pays e di non voler vendere né pubblicare i dati. Le autorità non hanno confermato questa versione e finora non ci sono indagati.

Le prime misure in Danimarca

• La ministra Christina Egelund ha ammesso che la sicurezza intorno al registro “non è stata sufficiente” e ha disposto una revisione completa.
• Il CPR-kontoret ha scritto alle 1.039 organizzazioni con accesso. Ognuna deve nominare un responsabile della sicurezza, controllare con regolarità gli accessi dei propri dipendenti e tenere sotto osservazione il numero mensile di interrogazioni.
• Le autorità chiedono di non usare più il solo numero CPR per identificare una persona, ma MitID (l’identità digitale danese) o un secondo fattore di autenticazione. Le farmacie hanno già stretto i controlli sul ritiro dei farmaci.
• Le richieste di blocco preventivo del credito sono passate da circa 250.000 il 1° ottobre a circa 970.000 il 7 ottobre.
• Indaga l’unità nazionale per i reati gravi (NSK). Il caso è stato notificato al Datatilsynet, l’autorità danese per la protezione dei dati.

Perché riguarda anche le aziende italiane

Nessuno ha forzato il registro dall’esterno: la porta d’ingresso era un fornitore molto piccolo, con un accesso esteso a un archivio nazionale e password da elenco dei primi dieci tentativi. Se la versione dell’hacker è vera, c’era anche l’utenza di un ex dipendente mai disattivata. Lo stesso schema si trova in molte realtà italiane: software house, centri elaborazione dati, gestionali in cloud che entrano nei sistemi dei clienti con utenze condivise o mai revocate.

Per il GDPR la scelta del fornitore resta in capo al titolare. L’art. 28 chiede di affidarsi a responsabili che offrano garanzie sufficienti, l’art. 32 misure di sicurezza adeguate al rischio. La verifica va fatta prima di aprire l’accesso. Per i soggetti che rientrano nella NIS2, l’art. 24 del D.Lgs. 138/2024 mette la sicurezza della catena di approvvigionamento fra le misure obbligatorie.

Il secondo insegnamento riguarda l’identificazione. Il nostro codice fiscale si ricava da nome, cognome, data e luogo di nascita, quindi non è un segreto per nessuno. Chi riconosce un cliente al telefono chiedendo codice fiscale e data di nascita ha lo stesso problema che la Danimarca sta affrontando adesso con il CPR.

Cosa fare

• Fare l’elenco dei fornitori che accedono ai vostri sistemi o alle vostre banche dati e verificare per ciascuno se le utenze sono nominative, se è attiva l’autenticazione a più fattori e se gli accessi vengono revocati quando un dipendente se ne va.
• Bloccare a livello tecnico le password comuni o già comparse in violazioni note, anche sugli account amministrativi e su quelli dei fornitori.
• Impostare soglie e allarmi sul volume di interrogazioni ed esportazioni. In Danimarca 14 milioni di ricerche sono passate inosservate finché non è arrivata la fattura.
• Smettere di usare codice fiscale, data di nascita o indirizzo come prova di identità al telefono o via email: sono dati che un attaccante può già avere.

Fonti: DataBreaches.net, The Copenhagen Post, TV 2, TV 2 Fyn.