"123456" : Le mot de passe qui a exposé presque tous les Danois

C'est le mot de passe qui figure en tête de liste des pires mots de passe du monde depuis des années. C'est la première chose que tape un attaquant. Ce n'est, selon toute norme raisonnable, pas du tout un mot de passe. Et selon les médias danois, c'est ce mot de passe qui a contribué à exposer les données personnelles de près de neuf millions de personnes.

Au moins trois comptes de Pays ApS, une petite entreprise informatique danoise basée à Odense, sont liés à une violation majeure du système d'enregistrement civil du Danemark. Le Registre central des entreprises indiquait que la société n'avait que deux employés en juillet 2026. L'accès compromis aurait permis à un pirate de récupérer des informations associées à environ 8,8 millions de numéros du Registre central des personnes (CPR) danois — exposant potentiellement les données personnelles d'une part substantielle de la population danoise.

Les administrateurs de l'entreprise auraient utilisé « 123456 » pour protéger les systèmes ayant accès à l'infrastructure publique. Pays ApS a confirmé à la chaîne danoise TV 2 que c'était l'entreprise dont l'accès au registre CPR avait été compromis. « Nous pouvons confirmer que nous sommes l'entreprise qui a été victime d'une attaque où notre accès légal pour rechercher des informations dans le système CPR a été abusé », a déclaré la directrice générale et propriétaire Sophie Laursen.

Un pirate anonyme a déclaré jeudi à Politiken qu'il était responsable et a affirmé que l'accès n'avait pas été particulièrement difficile à obtenir. Selon son récit, l'intrusion a commencé par un mot de passe divulgué appartenant à un ancien employé. L'attaquant aurait utilisé cet accès pour atteindre le système CPR, puis aurait écrit deux programmes informatiques pour récupérer des informations et les stocker en dehors du registre. Le pirate a déclaré qu'il n'avait pas l'intention de vendre ou de publier les données.

L'accès signalé a duré 21 jours et 17 heures, débutant le 10 septembre.

La question qui hante désormais les autorités danoises est aussi inconfortable qu'évidente : pourquoi une entreprise de deux employés avait-elle accès aux données personnelles de toute une population ? Le CPR est la base de données centrale d'enregistrement civil du Danemark, contenant des informations sur environ 11 millions de personnes enregistrées — résidents actuels, ceux qui ont déménagé à l'étranger et les personnes décédées. Les numéros CPR sont largement utilisés pour identifier les personnes dans leurs relations avec les institutions publiques et les organisations privées, et plusieurs organisations peuvent obtenir un accès autorisé aux informations du registre lors de la vérification d'adresses ou de la tenue de dossiers d'adhésion. Cet arrangement permet un travail administratif de routine sans collecter manuellement les détails des individus. Mais cela signifie également que la sécurité du registre dépend, en partie, des pratiques de sécurité de chaque organisation autorisée à l'interroger.

Pour les citoyens danois, les conséquences immédiates sont moins catastrophiques que l'ampleur de la violation ne pourrait le suggérer. Le Danemark s'appuie fortement sur MitID, son système d'authentification à deux facteurs, de sorte qu'exposer un numéro CPR seul ne suffit pas pour usurper l'identité de quelqu'un. Mais les numéros CPR peuvent être exploités dans des attaques d'ingénierie sociale et de phishing pour créer des messages bien plus convaincants, et les cybercriminels peuvent recouper les données avec des violations antérieures pour construire des profils précis de victimes potentielles.

Les autorités danoises ont averti les citoyens d'être particulièrement prudents concernant les messages texte, appels téléphoniques et e-mails non sollicités qui contiennent des informations personnelles ou semblent provenir d'organisations légitimes. Les gens ne devraient jamais partager de mots de passe, de codes d'authentification à usage unique ou d'autres informations sensibles en réponse à de telles demandes.

Pour l'instant, le Danemark est confronté à une vérité familière de l'ère numérique : la sécurité d'une nation n'est aussi forte que le mot de passe le plus faible de sa chaîne d'approvisionnement. Il a fallu vingt et un jours à quelqu'un pour s'emparer des données de millions de personnes. Il a suffi de l'identifiant d'un ancien employé et de six chiffres pour y pénétrer.

Écrit par Freya Stensrud freya.stensrud@alpineweekly.com