Elles étaient seulement protégées par le mot de passe « 123456 » : les données de 8, 8 millions de personnes ont fuité
Un registre d'État qui recense toute une population est, en théorie, l'un des fichiers les mieux gardés d'un pays. Pourtant, il a suffi d'un compte mal protégé pour y entrer comme dans un moulin.
En octobre 2026, le gouvernement danois a confirmé une fuite de données touchant les informations personnelles de 8,8 millions de personnes. Cette cyberattaque a exploité une faille de sécurité liée à un mot de passe extrêmement faible, « 123456 », utilisé pour accéder au registre national central de la population. Ce registre, considéré comme l'un des fichiers les plus protégés du pays, recense les données de l'ensemble des habitants, y compris des personnes décédées ou ayant quitté le Danemark. La fuite dépasse ainsi le nombre d'habitants actuels du pays, qui compte environ 5,9 millions de résidents. Les intrus n'ont pas ciblé directement le système gouvernemental, mais ont utilisé les accès d'une entreprise privée, Pays, autorisée à consulter ce registre pour des vérifications administratives.
Les pirates ont accédé au registre national en utilisant le compte d'une entreprise danoise, Pays, spécialisée dans les services informatiques. Cette entreprise disposait d'un accès légitime pour interroger le registre et vérifier les coordonnées de ses clients professionnels. Cependant, les comptes utilisés par les intrus étaient protégés par un mot de passe notoirement faible, « 123456 ». Ce mot de passe, souvent cité comme exemple de ce qu'il ne faut pas faire en matière de sécurité, peut être déchiffré en moins d'une seconde par des logiciels spécialisés. Les autorités estiment que plusieurs comptes de l'entreprise, dont celui d'un administrateur, utilisaient cette combinaison. Entre le 10 et le 20 septembre 2026, près de 14 millions de requêtes automatiques ont été effectuées sur le registre, permettant l'extraction des données de 8,8 millions de personnes.
Pays est une petite société informatique basée sur l'île de Fionie, au Danemark. Elle était autorisée par l'État à consulter le registre national pour des missions de vérification administrative, notamment pour s'assurer de l'exactitude des coordonnées des clients professionnels. Cette entreprise agissait donc comme un sous-traitant du gouvernement, avec un accès légal mais encadré à des données sensibles. L'intrusion a été rendue possible par la réutilisation du mot de passe « 123456 » sur plusieurs comptes de l'entreprise, y compris celui d'un administrateur. Pays n'a pas été accusée de négligence, mais cette affaire soulève des questions sur la gestion des accès par les sous-traitants et la surveillance des activités des entreprises autorisées à manipuler des données publiques.
L'alerte concernant cette fuite n'a pas été déclenchée par un système de sécurité informatique, mais par un agent du ministère de l'Enseignement supérieur et de la Science. En examinant les factures de l'entreprise Pays, cet agent a remarqué une activité anormalement élevée, avec des requêtes massives sur le registre national. Cette observation a permis de détecter l'intrusion entre le 10 et le 20 septembre 2026. Les autorités n'ont pas précisé si des mesures de sécurité avaient été mises en place pour surveiller les activités des entreprises sous-traitantes. L'auteur présumé de l'attaque affirme n'avoir eu aucune intention de divulguer ou de commercialiser les données récupérées, mais cette déclaration n'a pas été confirmée par les autorités.
Cette fuite de données expose les informations personnelles de 8,8 millions de personnes, dont des noms, adresses, et autres données sensibles. Bien que l'auteur présumé n'ait pas utilisé ces données à des fins malveillantes, la simple possibilité d'un accès non autorisé à un registre national soulève des préoccupations majeures. Les cybercriminels pourraient exploiter ces informations pour du phishing, de l'usurpation d'identité ou d'autres fraudes. Cette affaire met en lumière les risques liés à l'utilisation de mots de passe faibles et à la réutilisation des identifiants sur plusieurs services. Elle interroge également sur la sécurité des sous-traitants et la nécessité de renforcer la surveillance des accès aux données publiques.
