デンマークの中央個人登録簿CPRへの不正アクセス
- カテゴリ
- 不正アクセス
デンマークの研究・教育・デジタル化省の2026年10月5日の発表によると、中央個人登録簿（CPR）を照会する民間企業1社の正規のアクセスを第三者が悪用した［2］。登録された約880万人分の氏名・住所・CPR番号などにアクセスした［2］。データ保護庁（Datatilsynet）は10月23日に正式な調査を始め、CPR-administrationenとCharity Guard ApSに回答を求める書簡を送った［12］。
経緯
データ保護庁の10月5日の発表によると、CPR-administrationenからの届出には、有効なCPR番号を見つける目的でCPRシステムに大量の自動の照会が行われたと書かれていた［8］。
研究・教育・デジタル化省は、不正なアクセスは、民間企業がアクセスできる情報の範囲の中で行われたと説明した［2］。正当な利益を持つ民間企業は、CPR法38条により、個人番号か生年月日と氏名、または氏名と住所で事前に1人ずつ特定した人々について、CPRから情報の提供を受けられる［2］。
Ritzauの10月5日の記事では、研究・教育・デジタル化相は、第三者が9月の約10日間にわたり小規模なデンマーク企業のアクセスを悪用したと述べた［16］。
DRが情報公開で得た、CPR-kontoretが10月3日付でデータ保護庁に出した届出には、CPR-kontoretの職員がフュン島の企業への異常に高い請求書に気付き、警報を上げたと書かれていた［22］。データの窃取は9月10日〜20日〔注1〕の期間に行われたとも書かれていた［22］。
TV 2は、情報公開で得た届出をもとに、この企業によるCPRのサービスへのアクセスは10月2日に閉じられたと報じた［21］。届出には、照会の件数が企業の顧客層をはるかに上回り、企業自身も照会を行っていないと伝えてきたため、どの点から見ても企業のITソリューションが侵害されたと考えられるとあった［21］。ハッカーがアクセスできた期間は合計21日17時間で、攻撃は発見の12日前にあたる9月20日に止まっていたと推定されていた［21］。
会見での説明
Ritzauの10月6日の記事によると、CPRにアクセスする企業は検索ごとに料金を払っており、高い請求額が発見につながった［18］。研究・教育・デジタル化省の部局長は同じ日の記者会見で、アクセスされたのは主に「氏名と住所に関する情報」だと説明し、CPRシステムの監視の責任者が誰だったかには答えるのを拒んだ［18］。
国家特別犯罪ユニット（NSK）の部門長は、どの手口が使われたかはまだ言えないとし、背後の人物の兆候は無く、被疑者もいないと話した［18］。
TV 2の10月6日のライブ記事では、部局長は、金曜の夜〔注2〕に請求を処理したとき、ごく大きな金額が請求されていたことから、9月中の活動がきわめて多かったと分かったと説明した［15］。
部局長は、公表までに2日以上かかったのは、まず具体的な事象を止め、しかるべき当局に連絡する必要があったためだと答えている［15］。システムが返した結果は合計880万件で、試みられた照会は1,400万回を優に超え、存在しないCPR番号も照会できるためその回数になり得るとも述べた［15］。NSKの部門長は、NSKが週末に通報を受け、土曜（10月3日）の夜にこの小規模企業を実際に訪れて痕跡を確保したと話した［15］。国外の警察当局にも連絡しているとした［15］。
DRのライブ記事によると、NSKの部門長は、短い時間にこれほど多くの照会があったことから、アルゴリズムが使われたことは仮説になり得るとし、まったく考えられないことではないと話した［33］。
Pays ApSと姉妹会社
TV 2の10月9日の記事によると、悪用されたのはオーデンセ中心部のIT企業Pays ApSのアクセスで、同社のCEO兼オーナーは、正規の検索アクセスを悪用する攻撃を受けた企業が自社であることをTV 2へのメールで認めた［23］。CEOは、事象を知ってから省、警察、NSK、データ保護庁などと緊密に協力していると説明し、インタビューは弁護士を通じて断った［23］。企業登録簿（CVR）の記載では、Paysの従業員は2人で、同じ住所に従業員25人の姉妹会社Charity Guard ApSがある［23］。Paysの旧サイトには、住所の更新、死亡の確認、転居の情報のための「cpr-vask」を提供すると書かれていた［23］。
Politikenが伝えた侵入の経路
Ritzauは、日刊紙Politikenが10月8日、自ら実行したと主張する匿名のハッカーへのインタビューを載せたと報じた［20］。ハッカーは、登録簿へのアクセスを持つ小規模企業の元従業員のパスワードが流出しており、それで9月11日にアクセスを得たと説明した［20］。パスワードは「123456」で、ハッカーはその後、CPRの情報を探して外部に保存する2つのプログラムを作った［20］。CPR番号を売ったり公開したりする計画は無いとも話した［20］。
DRの10月9日の記事によると、この企業が使っていたパスワードの1つはハッキングされてデータ漏えいに含まれており、DRの調べではそれが「123456」だった［22］。DRは、悪用されたのがまさにこのアクセスかどうかの情報は得られなかったとした［22］。
Ritzauは、Politikenの調査として、アクセスが悪用された当時、Paysの少なくとも3つのプロファイルがパスワード「123456」を使っており、その1つは同社の管理者アカウントだったと10月9日に伝えた［34］。
Ritzauの10月13日の記事では、ハッカーはPolitikenに、登録簿から8,749,975件のCPR番号を不正に取り出したプログラムはAIが作ったと説明した［25］。Politikenが依頼した専門家2人も、コードはAIが作ったものと評価した［25］。
TV 2は、ハッカーの身元と発言を検証できていないと伝えた［15］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | CPR-administrationen | 9月中にCPRシステムで不規則な挙動があったことに気付いた | ［2］ |
| 2026年 | データ保護庁 | CPR-administrationenから事象の届出を受けた | ［8、12］ |
| 2026年 | 研究・教育・デジタル化省、CPR-administrationen | 不正なアクセスを発表した | ［1、2］ |
| 2026年 | Charity Guard ApS | 個人データの侵害をデータ保護庁に届け出た | ［14］ |
| 2026年 | CPR PROD Statuspage | 民間企業によるCPRへのアクセスを一時閉じたと告知した | ［3］ |
| 2026年 | CPR PROD Statuspage | 民間企業によるCPRへのアクセスを再開したと告知した | ［3］ |
| 2026年 | CPR PROD Statuspage | 信用警告（kreditadvarsel）のアプリに多くの人が訪れ、CPRの応答が遅れていると告知した | ［4］ |
| 2026年 | CPR PROD Statuspage | CPRの応答の遅れが解消したと告知した | ［4］ |
| 2026年 | CPR-administrationen | CPRにアクセスできる企業に、規則と条件の徹底を求める書簡を送った | ［5、6］ |
影響範囲
研究・教育・デジタル化省の発表では、不正なアクセスの対象には、生存している人のほか、国外に転出した人や死亡した人なども含まれる［2］。CPRシステムには現在約1,100万人が登録されており、在住者のほか死亡した人と国外に転出した人も含む［2］。これまでの確認では、氏名・住所の保護を登録した人の氏名と住所は、不正なアクセスの対象に含まれない［2］。省は、経緯をさらに調べると具体的な情報が改まる可能性があるとした［2］。
社会安全庁は、運営するsikkerdigital.dkで、信用警告はCPRに付ける印で、本人の名義での借入れや信用取引を難しくすると説明している［9］。具体的な詐欺の疑いがあればborger.dkで信用警告を設定し、CPR番号をパスワードに使わないよう市民に勧めている［9］。10月13日の更新では、より厳しい本人確認を求められる場合に備え、国が提供するアプリAltIDの電子身分証を案内した［9］。
対応と現状
研究・教育・デジタル化省の10月5日の発表では、CPR-administrationenがこの企業のアクセスを止め、専門家や当局と経緯を調べている［2］。警察が関係する当局と捜査しており、捜査は初期の段階で、誰が背後にいるかはまだ言えないとした［2］。類似の事象を防ぐ取り組みをすでに始め、研究・教育・デジタル化相がCPRシステムの徹底したセキュリティの点検を求めた［2］。支援の窓口にはsikkerdigital.dkとCyberhotlineを挙げ、Cyberhotlineは数日のあいだ受付を8時〜24時に広げた［2］。
データ保護庁は10月5日の発表で、何が起きたか、どうして起き得たか、この件の個人データの処理に誰が責任を負うかを検討するとした［8］。
Ritzauの10月5日の記事によると、研究・教育・デジタル化相は、この企業のCPRのアクセスをめぐる安全対策が十分でなかったことは明らかだと述べた［16］。全員に新しいCPR番号が要るかは時期尚早としつつ、何も排除しないと話した［16］。
大臣は同じ日に国会の産業・デジタル化委員会と外交・防衛委員会へ説明した後、セキュリティの点検に期限は無いとし、国際的な性質を持つ可能性も排除しなかったとRitzauは報じた［17］。
Ritzauの10月8日の記事では、大臣は書面の回答で、CPRシステムの安全が十分でなかったことを認め、同じ手口でのアクセスはすでに止めたと説明した［20］。
CPR-administrationenは、DRが情報公開で得た届出の中で、顧客の側での侵害に備えてCPRのサービスの利用に異常が無いかを確かめる請求の点検を常設し、事象を受けてさらに取り組みを検討していると説明していた［22］。
社会安全・危機管理省の10月7日の発表によると、社会安全・危機管理相は、サイバー・情報セキュリティ戦略2026〜2029の協定を結んだ会派を招集した［29］。会派に説明し、事象を受けて始められる政治的な措置を話し合うためとした［29］。
研究・教育・デジタル化相は、最初の不正な照会から発見とアクセスの遮断までの正確な時系列などを尋ねた委員会の質問21への答弁を、10月23日付で提出した［31］。国会の産業・デジタル化委員会は10月27日12時から、研究・教育・デジタル化相と社会安全・危機管理相を招き、CPR登録簿のセキュリティ侵害と国のデジタル基盤の安全について公開の質疑を開いた［11］。両大臣は、質疑で使った発言の原稿を添えた答弁を10月30日に委員会に提出した［32］。
CPR-administrationenは、この事象のために手続きの処理期間が延びていると11月2日に告知した［26］。
照会権限を持つ企業宛ての書簡
CPR-administrationenは企業に宛てた書簡で、データ保護の規則に沿った適切な技術的・組織的な措置と、CPRのセキュリティの条件を守るよう改めて求めた［6］。書簡が挙げた6つの義務は、企業がデータの管理者か処理者かにかかわらず守る必要がある［6］。
- セキュリティの責任者（sikkerhedsansvarlig）を置くこと［6］
- 認可されたアクセスだけになるよう、必要な技術的・組織的な措置をとること［6］
- CPRへのアクセスは必要な従業員にだけ与えること［6］
- CPRの情報への従業員のアクセスを継続して点検すること［6］
- 悪用が無いかを点検できるよう、CPRでのトランザクションの数を毎月追うこと［6］
- 公開のセルフサービスからCPRの照会を起こす場合はMitIDを使うこと［6］
Ritzauの10月10日の記事では、大臣が同じ日に国会の2委員会へ送った文書に、書簡の送り先は計1,039社とあった［24］。アクセスを持つ1,000社超には、金融、通信、法律事務所、労働組合、保険などの企業が含まれる［24］。
本人確認の見直し
社会安全庁は10月6日の発表で、CPRにある情報だけを根拠に機微な情報を渡すことが無いように、本人確認を補強することを当局・組織・企業に呼びかけ、具体策を6つ挙げた［10］。
- MitIDなどでセルフサービスにログインするよう案内すること［10］
- 登録済みの電話番号かメールアドレスにワンタイムコードを送ること［10］
- 流出し得る情報だけに頼らず、相手との関係に基づいた確認の質問をすること［10］
- 申し出のあった番号ではなく、登録済みの番号に折り返し電話をすること［10］
- 経済や安全に関わる特別な変更では、本人確認書類を持って来訪してもらうこと［10］
- 経済や安全に影響し得る変更に、手動の確認か猶予期間を設けること［10］
社会安全庁が運営するsikkerdigital.dkの事業者向けの案内は、アプリAltIDの電子身分証で市民の身元を確かめる方法も挙げている［27］。個人情報の閲覧、連絡先や支払い情報の変更、契約の開設、信用での購入、新しいSIMカードの発行、パスワードの再設定を求められたときは強い確認を使い、CPR番号・氏名・住所・生年月日では足りないとすべきだとした［27］。
移民庁（Udlændingestyrelsen）と国際人材・統合庁（SIRI）は、両庁の利用者も事象の対象になり得るとして、Borgerserviceへの電話の問い合わせで本人を確かめる追加の質問を始めたと10月5日に告知した［28］。
社会安全庁は、被害にさらされやすい人や目立つ立場にある人に向けて、10月26日に指針を公開している［30］。過去に嫌がらせを受けた人、犯罪者の関心を引き得る仕事をする人、名前を悪用され得る著名人などを例に挙げ、特定の人物に住所を知られて身体の危険があり得る人には、氏名・住所の保護を検討するよう勧めた［30］。当局を名乗る電話でCPR番号を告げられても、いったん切って公式の番号にかけ直すよう呼びかけている［30］。
デンマーク薬局協会（Danmarks Apotekerforening）の10月6日の発表では、薬局は医薬品と健康情報を渡すときの注意を強め、とくに乱用のおそれがある医薬品を渡すときに強める［7］。医薬品を受け取るときにCPR番号を言うだけでは通常は足りず、健康保険証（sundhedskort）などの身分証の提示や確認の質問を求める場合があるとした［7］。協会は、市民がいつでも医薬品を受け取れるようにするとも強調した［7］。
書簡で尋ねた事項
データ保護庁は10月23日の発表で、書簡への回答を通じて、多数の照会がどのように可能だったか、どの安全措置が講じられていたかを含めて事情を明らかにするとした［12］。回答を受け取った後、データ保護の規則が守られていたかを判断する［12］。
CPR-administrationenへの書簡では、データ保護庁は、多数の照会が「CPR Direkte」というサービスを通じて行われたか、使われたアクセスを持っていた企業の名称とCVR番号、システム間の連携でCPRを照会できる民間企業の数を尋ねた［13］。照会の数やパターンが通常と違うときに検知し、場合によっては遮断する仕組みがあったかどうかも質問に入っている［13］。2026年6月16日付の標準約款は、CPR-kontoretの事前の承認なしに、システム間の連携によるCPRへのアクセスを「transaktionskanon（online batch）」として使うことを禁じている［13］。データ保護庁はこの条項について、無承認の利用を検知する手順や仕組みと、与えた承認の説明を求めた［13］。
データ保護庁はCharity Guard ApSへの書簡で、同社からの届出の内容を引いた［14］。届出には、CPR Direkteへのアクセスを通じた不正なアクセスが確認され、ある行為者がそのアクセスでCPRを照会し、照会の回数は約1,500万回と推計されるとあった［14］。同社には、照会が同社を通じて行われたか、CPRへの接続の契約を結んだのが同社か、インターネット経由のログインの仕組みと多要素認証などの安全措置、第三者がどう侵入したかなどを尋ねた［14］。この件の情報が刑罰を伴い得る違反の判断に関わる可能性を排除できないとして、同社に情報を出す義務は無いとも告げた［14］。
未公表の事項
注
出典
当事者
- ［1］CPR-administrationen『Omfattende uautoriseret adgang til borgeres CPR-oplysninger』（2026年10月5日公開）
- ［2］Forsknings-, Uddannelses- og Digitaliseringsministeriet『Omfattende uautoriseret adgang til borgeres CPR-oplysninger』（2026年10月5日公開）
- ［3］CPR PROD Statuspage『Private virksomheders adgang til CPR er midlertidigt lukket.』（2026年10月5日公開）
- ［4］CPR PROD Statuspage『Der opleves lange svartider på CPR』（2026年10月5日公開、2026年10月6日更新）
- ［5］CPR-administrationen『Indskærpelse af regler og vilkår for din virksomheds adgang til CPR』（2026年10月9日公開）
- ［6］CPR-administrationen『Til virksomheder med adgang til CPR』（2026年10月9日公開、PDF）
- ［26］CPR-administrationen『Sagsbehandlingstiden er i øjeblikket forlænget』（2026年11月2日公開）
関係組織
- ［7］Danmarks Apotekerforening『Apotekerne skærper opmærksomheden ved udlevering af medicin』（2026年10月6日公開）
公的機関
- ［8］Datatilsynet『Datatilsynet er opmærksom på sag om opslag i CPR』（2026年10月5日公開）
- ［9］Styrelsen for Samfundssikkerhed『Uvedkommende har fået adgang til borgeres CPR-oplysninger: Sådan skal du forholde dig som borger』（2026年10月5日公開、2026年10月13日更新）
- ［10］Styrelsen for Samfundssikkerhed『Myndigheder, organisationer og virksomheder bør supplere deres identitetskontrol efter læk fra CPR-registeret』（2026年10月6日公開）
- ［11］Folketinget『Åbent samråd med forsknings-, uddannelses- og digitaliseringsministeren og ministeren for samfundssikkerhed og beredskab om sikkerhedsbruddet i CPR-registeret og sikkerheden i statens digitale infrastruktur, jf. ERU alm. del - samrådsspørgsmål D, E, F og G.』（2026年10月20日公開、書誌のみ）
- ［12］Datatilsynet『Datatilsynet indleder formel undersøgelse af CPR-sagen』（2026年10月23日公開）
- ［13］Datatilsynet『Datatilsynet indleder undersøgelse af CPR-administrationen i anledning af et brud på persondatasikkerheden』（2026年10月23日公開、PDF）
- ［14］Datatilsynet『Datatilsynet indleder undersøgelse af Charity Guard ApS i anledning af et brud på persondatasikkerheden』（2026年10月23日公開、PDF）
- ［27］Styrelsen for Samfundssikkerhed『Uvedkommende har fået adgang til borgeres CPR-oplysninger: Sådan kan du verificere borgere, der tager kontakt til jer』（2026年10月6日公開、2026年10月13日更新）
- ［28］Udlændingestyrelsen、Styrelsen for International Rekruttering og Integration『Uvedkommende har fået adgang til borgeres CPR-oplysninger』（2026年10月5日公開）
- ［29］Ministeriet for Samfundssikkerhed og Beredskab『Minister indkalder aftalepartier til at drøfte sag om kompromittering af cpr-registret』（2026年10月7日公開）
- ［30］Styrelsen for Samfundssikkerhed『Råd til særligt udsatte eller eksponerede grupper ifm. læk af personoplysninger』（2026年10月26日公開、PDF）
- ［31］Folketinget『ERU alm. del - svar på spm. 21 om præcis tidslinje fra første uautoriserede opslag til opdagelse og lukning af adgangen ved CPR-læk』（2026年10月26日公開、書誌のみ）
- ［32］Folketinget『ERU alm. del - svar på spm. 55 om oversendelse af talepapirer fra det åbne samråd den 27. oktober 2026 om sikkerhedsbruddet i CPR-registeret og sikkerheden i statens digitale infrastruktur, jf. ERU alm. del - samrådsspørgsmål D, E, F og G』（2026年10月30日公開、書誌のみ）
報道機関
- ［15］TV 2『Cpr-lækket gik igennem den fynske virksomhed Pays ApS』（2026年10月5日公開、2026年10月23日更新）
- ［16］Kristeligt Dagblad『Misbrug af CPR-adgang stod på i ti dage: Minister erkender svigt』（2026年10月5日公開、Ritzauの配信）
- ［17］ITWatch『Minister efter orientering: Udelukker ikke nye CPR-numre efter læk』（2026年10月5日公開、Ritzauの配信）
- ［18］DR『CPR-læk blev opdaget på grund af dyr faktura』（2026年10月6日公開、Ritzauの配信）
- ［19］TV 2『700.000 danskere opretter kreditadvarsel efter CPR-læk』（2026年10月8日公開）
- ［20］Kristeligt Dagblad『It-kriminel hævder at stå bag CPR-angreb: Kom ind via simpelt password』（2026年10月8日公開、Ritzauの配信）
- ［21］TV 2『Nye detaljer om cpr-skandale – hacker var over alle bjerge』（2026年10月9日公開）
- ［22］DR『Afsløring: Fynsk virksomhed er centrum for massivt CPR-databrud』（2026年10月9日公開）
- ［23］TV 2『Her er den fynske virksomhed cpr-lækket gik igennem』（2026年10月9日公開）
- ［24］DR『1039 virksomheder har fået indskærpet sikkerhed efter CPR-læk』（2026年10月10日公開、Ritzauの配信）
- ［25］Kristeligt Dagblad『Medie: Program bag CPR-læk var skabt af kunstig intelligens』（2026年10月13日公開、Ritzauの配信）
- ［33］DR『LIVE Uvedkommende har haft adgang til millioner af CPR-numre』（2026年10月5日公開）
- ［34］Kristeligt Dagblad『Medie: Tre profiler hos virksomhed i datalæksag brugte koden ”123456”』（2026年10月9日公開、Ritzauの配信）
更新記録
- 2026年10月25日8時12分：公開した。
- 2026年10月25日10時40分：「経緯」のPolitikenのインタビューの文から、出典［20］に無い「夜」を外した。
- 2026年10月25日16時40分：「会見での説明」から出席者の肩書の列挙を削り、部局長と部門長の所属をそれぞれの発言の文に移した。
- 2026年10月26日2時13分：リードの第1文と〔注1〕を、それぞれ2つの文に分けた。
- 2026年11月3日：「経緯」「会見での説明」「対応と現状」の文の言い回しと小節名を改めた（事実と出典は変えていない）。
- 2026年11月4日：委員会の公開の質疑の開催と答弁の公開、社会安全・危機管理相による会派の招集、11月2日の処理期間の延長の告知、事業者向けの確認の案内、移民庁とSIRIの追加の確認、社会安全庁の10月26日の指針、会見での説明とPaysのパスワードの報道を加えた。