Una violazione su larga scala colpisce il registro anagrafico nazionale danese (CPR), con l’esposizione dei dati di circa 8,8 milioni di persone: 5,5 milioni di cittadini viventi e 3,3 milioni di deceduti, in un Paese che conta circa 5,9 milioni di abitanti. Al centro della vicenda una piccola società con sede a Odense, Pays ApS, abilitata a interrogare il CPR per servizi di verifica anagrafica e titolare di soli due dipendenti registrati.
Secondo quanto ricostruito dal quotidiano danese Politiken, l’autore dell’intrusione avrebbe sfruttato almeno tre account della società — uno con privilegi di amministratore — protetti dalla password “123456”. Il punto di accesso iniziale sarebbe stata una credenziale trapelata, appartenuta a un ex dipendente di un’altra piccola azienda danese. Le autorità hanno confermato l’abuso dell’accesso legittimo al sistema, senza però validare ufficialmente il dettaglio sulla password.
Tra il 10 e il 20 settembre sono partite circa 14 milioni di interrogazioni automatizzate verso il CPR, per un accesso continuativo di 21 giorni e 17 ore. L’allarme è scattato il 2 ottobre, quando il ministero competente ha rilevato una fattura anomala legata al volume fuori scala delle richieste; l’amministrazione del registro ha reso pubblica la violazione il 5 ottobre.
Due esperti consultati da Politiken hanno rilevato che lo script usato per l’estrazione dei dati, lungo oltre 40.000 caratteri, porta tracce di generazione tramite intelligenza artificiale — un dettaglio che apre interrogativi sull’uso di strumenti di IA generativa per automatizzare attacchi su sistemi con credenziali deboli.
Per gli operatori che in Italia trattano dati pubblici o gestiscono accessi a banche dati sensibili per conto di terzi, il caso danese è un promemoria diretto: la responsabilità del titolare del trattamento non si esaurisce nella formale abilitazione all’accesso, ma richiede verifiche effettive su policy di autenticazione, anche per fornitori di piccolissime dimensioni.
Articoli simili
Dati sanitari di un milione di pazienti, il Garante sanziona IQVIA per 7 milioni di euro
L'autorità boccia la tesi dell'anonimizzazione: un codice paziente combinato con dati clinici dettagliati consentiva comunque la re-identificazione. Coinvolti oltre 800 medici di base e un…
Rubati i dati di 6,6 milioni di utenti: nel mirino patenti di guida e documenti d’identità
Il colosso giapponese del car sharing Times Car conferma il furto di dati dopo un attacco informatico: coinvolti indirizzi, date di nascita e immagini dei…
Si può essere avvocati in aula e persone qualunque fuori? Il Codice deontologico risponde di no
L’articolo 9 del Codice Deontologico Forense estende i doveri di probità, dignità e decoro anche alla vita privata del legale: la giurisprudenza disciplinare lo applica…
