Šta se desilo?

Danske vlasti istražuju ozbiljan bezbednosni incident u Centralnom registru stanovništva (CPR), nakon što su neovlašćene osobe zloupotrebile legitimni pristup jedne privatne danske kompanije sistemu.

Preko tog pristupa izvršen je veliki broj automatizovanih upita kojima su pribavljeni podaci oko 8,8 miliona registrovanih osoba, uključujući imena, adrese i CPR brojeve.

CPR administracija je 2. oktobra 2026. godine uočila neuobičajenu aktivnost, a istraga je pokazala da su se sumnjivi upiti odvijali tokom septembra.

Pristup pogođene kompanije registru je blokiran, incident je prijavljen danskoj Agenciji za zaštitu podataka, a slučaj istražuje policija.

Koga pogađa?

Incident obuhvata podatke približno 8,8 miliona osoba evidentiranih u CPR sistemu. Ovaj broj je veći od trenutnog broja stanovnika Danske jer registar sadrži podatke i o osobama koje su se odselile iz zemlje, kao i o preminulim osobama.

CPR registar trenutno sadrži približno 11 miliona zapisa.

Danske vlasti navode da neovlašćeni pristup nije obuhvatio imena i adrese osoba koje imaju aktivnu zaštitu imena i adrese u registru.

CPR broj je jedinstveni identifikacioni broj koji se široko koristi u danskom društvu, pa kombinacija ovog broja sa imenom i adresom može povećati rizik od krađe identiteta, ciljanog fišinga i drugih prevara.

Kako se zaštititi?

  • Budite posebno oprezni prema neočekivanim SMS porukama, pozivima i emailovima koji već sadrže vaše lične podatke.
  • Ne klikćite na linkove iz neočekivanih poruka - sami otvorite zvanični sajt institucije ili pozovite njen zvanični broj.
  • Nikada ne delite MitID podatke, jednokratne kodove, lozinke ili podatke sa platnih kartica.
  • Razmotrite postavljanje kreditnog upozorenja (kreditadvarsel) na borger.dk, čime se otežava uzimanje kredita ili zajma u vaše ime.
  • Pratite račune i druga obaveštenja zbog aktivnosti koje ne prepoznajete.
  • Ako sumnjate na zloupotrebu identiteta, kontaktirajte dansku Cyberhotline službu ili odgovarajuću instituciju.

Tehnički detalji

Prema danskoj Agenciji za zaštitu podataka, incident je uključivao veoma veliki broj automatizovanih upita prema CPR sistemu sa ciljem identifikovanja važećih CPR brojeva.

Napadači nisu, prema trenutno dostupnim informacijama, direktno provalili u samu bazu CPR registra. Umesto toga, zloupotrebili su legitimni pristup koji je jedna privatna danska kompanija imala za pretragu podataka u sistemu.

Privatne kompanije sa odgovarajućim legitimnim interesom mogu imati ograničen pristup određenim podacima iz CPR sistema. U ovom slučaju taj mehanizam je iskorišćen za masovne automatizovane pretrage.

Za sada nije poznato kako su neovlašćene osobe dobile mogućnost korišćenja pristupa kompanije. Vlasti nisu objavile da li su ukradeni kredencijali, kompromitovan sistem kompanije ili je korišćen neki drugi metod.

Takođe nije objavljen identitet kompanije niti osoba koje stoje iza incidenta.

CPR administracija je blokirala pristup kompanije i uvela dodatne mere sa ciljem sprečavanja sličnih incidenata. Policija i nadležne institucije nastavljaju istragu.

Zašto je važno?

Incident pokazuje da bezbednost centralnog registra ne zavisi samo od zaštite same baze podataka. Organizacije i kompanije koje imaju legitimni pristup takvim sistemima takođe predstavljaju potencijalnu tačku rizika.

Posebno je značajan obim incidenta - pristup je obuhvatio podatke oko 8,8 miliona registrovanih osoba, odnosno veliki deo kompletnog CPR registra.

Za organizacije koje upravljaju sličnim sistemima ovo je primer zašto pristup eksternih korisnika mora biti strogo ograničen, praćen i zaštićen mehanizmima koji mogu da prepoznaju masovne ili neuobičajene automatizovane upite.

Preporuka Sajber Radara

Ako su vaši podaci evidentirani u danskom CPR registru, budite posebno oprezni prema komunikaciji u kojoj druga strana već zna vaše ime, adresu ili CPR broj. Poznavanje tih podataka nije dokaz da je osoba ili institucija koja vas kontaktira legitimna.

Ne prosleđujte MitID podatke, jednokratne kodove, lozinke ili podatke sa kartica. Danske vlasti preporučuju i postavljanje kreditnog upozorenja preko borger.dk kao dodatnu zaštitu od zloupotrebe identiteta.