Update 12-10-2026: De dader achter het datalek van het Deense bevolkingsregister claimt dat hij kon binnendringen via een beheerdersaccount met het wachtwoord ‘123456’, zo meldt de Deense krant Politiken. De aanvaller zou via het betrokken private bedrijf toegang hebben gekregen tot minstens drie accounts en kon daardoor 21 dagen lang gegevens downloaden. Volgens de dader gaat het om de gegevens van circa 5,5 miljoen levende en 3,3 miljoen personen die al overleden zijn.
Originele artikel 05-10-2026 11.00: Onbekenden hebben toegang gekregen tot namen, adressen en CPR-nummers van zo’n 8,8 miljoen personen in het Deense bevolkingsregister. Daarvoor misbruikten ze de wettelijke toegang van een Deens bedrijf. Wie erachter zit, is nog onduidelijk. De Deense overheid waarschuwt burgers voor phishing.
Het Deense Centrale Personenregister (CPR) is getroffen door een ernstig beveiligingsincident. Onbevoegden hebben namen, adressen, CPR-nummers en andere gegevens van ongeveer 8,8 miljoen geregistreerde personen ingezien. Dat meldt het Deense ministerie van Onderzoek, Onderwijs en Digitale Zaken in een persbericht.
Het CPR-nummer is vergelijkbaar met het Nederlandse bsn of Rijksregisternummer in België. Het register zelf bevat gegevens van zo’n 11 miljoen mensen. Dat is dus informatie van huidige inwoners, maar ook van overleden personen en Denen die naar het buitenland zijn vertrokken. Dat verklaart het grote aantal getroffenen, want het land telt namelijk zelf ongeveer 6,1 miljoen inwoners.
Niet iedereen is geraakt. Personen die met naam- en adresbescherming staan ingeschreven, vallen volgens het eerste onderzoek buiten het lek.
Legitieme toegang misbruikt
Opvallend is de werkwijze. Er is geen sprake van een klassieke hack van het systeem zelf. De daders maakten gebruik van de wettelijke toegang die een private Deense onderneming had om gegevens in het CPR op te vragen. Ze bleven daarbij binnen de grenzen van de informatie waar private bedrijven recht op hebben.
Die toegang is vastgelegd in paragraaf 38 van de Deense CPR-wet. Bedrijven met een gerechtvaardigd belang mogen gegevens opvragen over een afgebakende groep personen die ze vooraf individueel hebben geïdentificeerd, bijvoorbeeld via een persoonsnummer, geboortedatum en naam. Ook moeten ze voldoen aan de AVG en de Deense privacywetgeving.
De CPR-administratie werd op vrijdagavond 2 oktober attent gemaakt op afwijkend gedrag in het systeem, dat zich in de loop van september had voorgedaan. In het weekend werd de omvang duidelijk. Inmiddels is de toegang van het bedrijf geblokkeerd, is het incident gemeld bij de Deense privacytoezichthouder Datatilsynet en doet de politie verder onderzoek.
Waarschuwing voor phishing
Wat kunnen criminelen met zulke gegevens? Het ministerie roept burgers op om nooit wachtwoorden of andere vertrouwelijke informatie te delen via telefoon of e-mail. Ook niet als de afzender iemands naam, adres en CPR-nummer lijkt te kennen.
Ook in Nederland is dat advies niet nieuw. De Autoriteit Persoonsgegevens stelde eerder al dat burgers er beter van uit kunnen gaan dat hun persoonsgegevens gelekt zijn. Daarnaast adviseert de toezichthouder meerfactorauthenticatie vanwege een sterke toename van phishing en malware. En ook hier lekten eerder adresgegevens uit een basisregistratie: het Kadaster lekte namen en woonadressen van miljoenen Nederlanders.
Minister Christina Egelund heeft de parlementaire commissie voor Bedrijfsleven en Digitalisering ingelicht. “Het is een zeer ernstig incident. Samen met alle relevante autoriteiten brengen we de volledige omvang in kaart”, aldus Egelund. Volgens de minister zijn er al maatregelen genomen om herhaling te voorkomen. Daarnaast komt er een grondige beveiligingsdoorlichting van het CPR-systeem.
Lees ook: Cyberaanval gemeente Epe groter dan gedacht
Het onderzoek bevindt zich nog in een vroeg stadium. Wie achter het incident zit, is op dit moment niet bekend. De Deense overheid houdt er rekening mee dat de cijfers nog kunnen worden bijgesteld.