Vous pouvez avoir quitté un pays, ou ne plus être en vie, et y figurer encore dans un fichier. Au Danemark, le registre national a été piraté : 8,8 millions de personnes, vivantes, parties à l'étranger ou décédées, voient leur nom, leur adresse et leur numéro CPR exposés.
En bref
- Le fichier central du Danemark a été piraté, et 8,8 millions de personnes enregistrées sont concernées par la fuite.
- Noms, adresses et numéros CPR, l'équivalent du numéro de sécurité sociale, ont été obtenus, y compris pour des personnes décédées.
- Les pirates sont passés par l'accès légal d'une entreprise danoise, révoqué depuis, et les auteurs restent inconnus.
Le chiffre clé : 8,8 millions de personnes enregistrées dont le nom, l'adresse et le numéro CPR ont fuité.
Un registre de 11 millions de personnes, 8,8 millions touchées
Le ministère danois en charge du numérique l'a annoncé : le fichier central qui recense les personnes résidentes ou enregistrées au Danemark a été piraté. Des personnes non autorisées ont obtenu un accès illégal à des informations personnelles.
Trois types de données sont concernés : le nom, l'adresse et le numéro CPR. Ce dernier joue au Danemark le rôle de notre numéro de sécurité sociale. C'est la clé qui relie une personne à son dossier administratif.
Le registre contient les données de 11 millions de personnes. Il ne recense pas seulement les habitants actuels. On y trouve aussi des personnes décédées et d'autres qui ont quitté le pays. La fuite touche donc toutes ces catégories.
| Élément | Chiffre ou fait |
|---|---|
| Personnes concernées par la fuite | 8,8 millions |
| Personnes dans le registre | 11 millions |
| Données obtenues | Nom, adresse, numéro CPR |
| Profils touchés | Vivants, expatriés, décédés |
Les pirates sont entrés par l'accès légal d'une entreprise danoise
Le piratage n'a pas forcé la porte principale. Les auteurs ont utilisé l'accès, légal, dont disposait une entreprise danoise. Le ministère précise que cet accès a depuis été révoqué.
Le scénario est classique en sûreté informatique : un fichier très protégé reste exposé par ceux qui ont le droit de le consulter. Plus il y a de partenaires connectés, plus la surface d'attaque s'élargit. Le ministère n'a pas donné le nom de l'entreprise concernée.
L'enquête est en cours. À ce stade, les auteurs de l'intrusion n'ont pas été identifiés. On ignore donc qui est derrière l'attaque, et ce qu'il compte faire de ces données.
Une anomalie signalée un vendredi, l'ampleur chiffrée pendant le week-end
L'administration du registre a été informée un vendredi d'une « anomalie » dans le système CPR, survenue « au cours du mois de septembre ». Le délai entre l'intrusion et la découverte n'est pas détaillé, mais le mois de septembre est bien cité.
Le week-end suivant, les équipes ont pu établir le nombre de données obtenues, soit les 8,8 millions de personnes annoncées. L'administration affirme avoir mis en œuvre des mesures pour éviter qu'un incident similaire se reproduise.
« Il s'agit d'un incident extrêmement grave »
Christina Egelund, ministre, citée dans le communiqué de l'administration du registre.
La ministre a ajouté que toutes les autorités concernées étaient en train de cartographier l'ampleur complète de l'incident. Autrement dit, le bilan peut encore évoluer.
Qui est épargné : les personnes sous protection d'adresse et de nom
Tout le monde n'est pas dans le lot. Les personnes qui bénéficient d'une protection d'adresse et de nom ne sont pas concernées par la fuite. Ce dispositif protège des personnes dont l'identité ou le domicile doivent rester confidentiels.
Ce détail pèse lourd : les profils les plus sensibles ont échappé à l'exposition. Pour les autres, un nom, une adresse et un numéro d'identification personnel sont désormais dans la nature, ou du moins entre les mains des pirates.
Ce que ce cas rappelle à un lecteur français
Le communiqué ne dit rien de la nationalité des personnes concernées, mais il mentionne celles qui ont émigré. Un ancien résident étranger peut donc figurer parmi les 8,8 millions, sans le savoir.
Ce cas montre aussi qu'un numéro d'identification n'est jamais anodin. Associé à un nom et à une adresse, il suffit à rendre un courrier ou un appel frauduleux crédible. Les autorités danoises n'ont pas indiqué que ces données avaient déjà servi à des arnaques, mais l'enquête n'est pas terminée.
Un réflexe utile, en France comme ailleurs : méfiez-vous de tout message qui vous appelle par votre nom complet, cite votre adresse ou invoque un numéro officiel pour vous presser d'agir.
Vos questions
Quelles données ont été volées dans le registre national danois ?
Les pirates ont obtenu les noms, les adresses et les numéros CPR de 8,8 millions de personnes enregistrées. Le numéro CPR est l'équivalent danois du numéro de sécurité sociale.
Comment les pirates ont-ils accédé au registre ?
Ils sont passés par l'accès légal d'une entreprise danoise, depuis révoqué. L'administration a été informée vendredi d'une anomalie survenue au cours du mois de septembre. Les auteurs n'ont pas été identifiés.
Les personnes décédées ou parties à l'étranger sont-elles concernées ?
Oui. Les 8,8 millions de personnes comprennent des personnes vivantes, des personnes ayant émigré et des personnes décédées. Seules celles qui bénéficient d'une protection d'adresse et de nom ne sont pas concernées par la fuite.
Sources : BFMTV, Le Monde.