denmark-cpr-2026 · 公表 2026-10-05
デンマークCPR：企業の正規照会権限を悪用した情報取得
民間企業の正規照会権限が悪用され、約880万人の登録情報が取得されました。死亡者・国外転出者も含む登録人数です。権限を得た具体的な方法は調査中です。
確認範囲: 侵害を確認
侵入経路と確認できたこと
- 公表で確認
民間企業に認めた正規のCPR照会権限を、第三者が不正に使ったと公表しました。
- 公表で確認
約880万人の氏名・住所・CPR番号などが対象です。死亡者・国外転出者も含み、現住人口ではありません。氏名・住所の保護対象者は当該情報の取得範囲から除かれます。
- 公表で確認
規制当局は10月4日に報告を受け、大量の自動照会による有効なCPR番号の探索を調査しています。
[s3]通知と調査状況
時系列
公表された対応
- 公表で確認
対象企業のアクセスを停止し、調査とCPRの安全性点検を開始しました。
- 公表で確認
移民関連の窓口では、電話の問い合わせに追加の本人確認を導入しました。
[s4]Ekstra kontrol ved telefoniske henvendelser
原因・対策の仮説
未評価。この事例には編集者の仮説をまだ追加していません。安全性や原因の確定を示すものではありません。
当時の回避可能性を考える材料
判断材料が不足
照会権限・取得量・ログと、漏えい後の本人確認を点検します。権限を悪用できた経路や当時の制御は未公表で、回避可能性は判断できません。
未解明の点・AIの関与
確認した一次資料からは、攻撃者によるAI利用を判断できません。
資格情報の窃取やソフトウェアの脆弱性悪用を、一次資料だけで確定できません。発生日と最終的な被害範囲は調査中です。
情報元
[s1] デンマーク研究・教育・デジタル化省 · 一次情報
Omfattende uautoriseret adgang til borgeres CPR-oplysninger ↗公開 2026-10-05 · 確認 2026-10-12
[s2] CPR管理者 · 一次情報
Omfattende uautoriseret adgang til borgeres CPR-oplysninger ↗公開 2026-10-05 · 確認 2026-10-12
[s3] Datatilsynet · 一次情報
Datatilsynet er opmærksom på sag om opslag i CPR ↗公開 2026-10-05 · 確認 2026-10-12
[s4] Udlændingestyrelsen / SIRI · 一次情報
Uvedkommende har fået adgang til borgeres CPR-oplysninger ↗公開 2026-10-05 · 確認 2026-10-12