أعلنت وزارة الأبحاث والتعليم والرقمنة الدنماركية، في 5 أكتوبر 2026، وصول جهة غير مخولة إلى أسماء، وعناوين، وأرقام الهوية الشخصية (CPR) لنحو 8.8 مليون شخص مسجلين في السجل المركزي للأشخاص. وشملت البيانات أشخاصاً أحياء ومتوفين ومن غادروا البلاد، وذلك عبر إساءة استخدام الوصول القانوني لشركة دنماركية خاصة إلى السجل.
ويضم السجل بيانات نحو 11 مليون شخص. وأوضحت الوزارة أن المراجعة حتى الآن تفيد بأن الوصول غير المصرح به لا يشمل أسماء وعناوين من اختاروا حماية بياناتهم. وأوقفت إدارة السجل وصول الشركة، وأبلغت هيئة حماية البيانات الدنماركية (Datatilsynet)، فيما تجري الشرطة تحقيقاتها بالتعاون مع جهات أخرى ولم تتوفر هوية الفاعل بعد. وأضافت الوزارة أن الأرقام قد تتغير مع استمرار تقييم حجم الحادثة.
ولاحظت إدارة السجل نشاطاً غير معتاد في النظام خلال شهر سبتمبر، وانتبهت إليه مساء 2 أكتوبر، ليتكشف حجم الوصول في الأيام التالية. وطلبت وزيرة الأبحاث والتعليم والرقمنة كريستينا إيغلوند إجراء مراجعة أمنية شاملة للنظام، واصفة الحادثة بأنها شديدة الخطورة.
وفي 9 أكتوبر نقل موقع The Local عن صحيفة Politiken أن مخترقاً مجهولاً زعم دخوله إلى السجل باستخدام كلمة المرور “123456”، مبيناً أنها تعود لموظف سابق في شركة دنماركية صغيرة تمتلك صلاحيات الوصول، وأنها ظهرت في تسريب بيانات سابق. وذكر المهاجم أنه برمج أداتين، إحداهما لسحب البيانات باستخدام كلمة المرور والأخرى لحفظها خارج النظام، نافياً وجود نية لبيعها أو نشرها. وعرضت وسائل إعلام على خبراء تقنيين قائمة بأرقام (CPR) زعم المخترق الوصول إليها، ورجحوا صحة البيانات في تقييم فني منفصل عن التحقيق الجنائي.
وأكدت شركة Pays ApS، ومقرها في أودنسه، لقناة TV2 أنها الشركة التي تعرض وصولها القانوني للاستغلال. ونقلت وكالة Ritzau عن Politiken أن ثلاثة حسابات على الأقل داخل الشركة استخدمت كلمة المرور ذاتها، وأن أحدها يعود لمدير النظام، وهو ما لم يحظَ بتأكيد رسمي حتى الآن.
وأقرت الوزيرة إيغلوند في تصريحات صحفية بأن الإجراءات الأمنية المحيطة بنظام السجل لم تكن كافية، مؤكدة اعتماد تدابير جديدة لمنع الوصول غير المصرح به، فضلاً عن طلب تحليل أمني متكامل للنظام.
ونصحت السلطات الدنماركية المواطنين بالامتناع عن تقديم كلمات المرور أو المعلومات السرية عبر الهاتف أو البريد، حتى لو كان المتصل على علم بأسمائهم وعناوينهم وأرقام CPR الخاصة بهم. ولم يصدر تأكيد رسمي لكلمة المرور المزعومة في المصادر المتاحة، بينما تتباين التقارير حول التاريخ الدقيق لبدء الوصول غير المصرح به خلال شهر سبتمبر.
