Una violazione su larga scala colpisce il registro anagrafico nazionale danese (CPR), con l’esposizione dei dati di circa 8,8 milioni di persone: 5,5 milioni di cittadini viventi e 3,3 milioni di deceduti, in un Paese che conta circa 5,9 milioni di abitanti. Al centro della vicenda una piccola società con sede a Odense, Pays ApS, abilitata a interrogare il CPR per servizi di verifica anagrafica e titolare di soli due dipendenti registrati.
Secondo quanto ricostruito dal quotidiano danese Politiken, l’autore dell’intrusione avrebbe sfruttato almeno tre account della società — uno con privilegi di amministratore — protetti dalla password “123456”. Il punto di accesso iniziale sarebbe stata una credenziale trapelata, appartenuta a un ex dipendente di un’altra piccola azienda danese. Le autorità hanno confermato l’abuso dell’accesso legittimo al sistema, senza però validare ufficialmente il dettaglio sulla password.
Tra il 10 e il 20 settembre sono partite circa 14 milioni di interrogazioni automatizzate verso il CPR, per un accesso continuativo di 21 giorni e 17 ore. L’allarme è scattato il 2 ottobre, quando il ministero competente ha rilevato una fattura anomala legata al volume fuori scala delle richieste; l’amministrazione del registro ha reso pubblica la violazione il 5 ottobre.
Due esperti consultati da Politiken hanno rilevato che lo script usato per l’estrazione dei dati, lungo oltre 40.000 caratteri, porta tracce di generazione tramite intelligenza artificiale — un dettaglio che apre interrogativi sull’uso di strumenti di IA generativa per automatizzare attacchi su sistemi con credenziali deboli.
Per gli operatori che in Italia trattano dati pubblici o gestiscono accessi a banche dati sensibili per conto di terzi, il caso danese è un promemoria diretto: la responsabilità del titolare del trattamento non si esaurisce nella formale abilitazione all’accesso, ma richiede verifiche effettive su policy di autenticazione, anche per fornitori di piccolissime dimensioni.
