Il data breach Danimarca, che ha colpito il Central Person Register (CPR), il registro centrale dei cittadini, si configura come uno degli incidenti più significativi per la sicurezza delle banche dati pubbliche europee. L'accesso non autorizzato ha compromesso informazioni personali di circa 8,8 milioni di individui registrati, inclusi residenti, persone all'estero e deceduti.
Dati compromessi
Il registro CPR è un'infrastruttura chiave dello Stato danese, contenente dati per identificazione, servizi pubblici e fiscalità. L'intrusione ha permesso l'accesso non autorizzato a nomi, indirizzi, numeri CPR e altri dettagli.
Le persone con protezione di nome e indirizzo non sono state coinvolte per tali informazioni. La portata dell'incidente è eccezionale, dato che il sistema gestisce circa 11 milioni di registrazioni.
Modalità dell'intrusione: abuso di accesso
L'aspetto più critico del data breach in Danimarca è la modalità: l'accesso illecito è avvenuto abusando di un'autorizzazione legittima concessa a una società privata danese per la consultazione del sistema CPR. Sebbene la società avesse un canale conforme, questo è stato sfruttato impropriamente. Ciò sposta il problema dalla difesa perimetrale alla governance degli accessi: è indispensabile monitorare costantemente chi interroga il database, con quale frequenza e per quali finalità.
Cronologia e reazioni
Il comportamento anomalo è stato rilevato la sera del 2 ottobre 2026; l'attività irregolare risale a settembre. L'accesso della società coinvolta è stato bloccato. Il caso è stato notificato all'autorità danese per la protezione dei dati e la polizia ha avviato un'indagine. La ministra Christina Egelund ha definito l'episodio "profondamente grave", annunciando una revisione completa della sicurezza del CPR Danimarca.
Identità digitali e rischio sistemico
Questo episodio evidenzia come le banche dati nazionali siano infrastrutture ad alto rischio. Un numero identificativo stabile, abbinato a nome e indirizzo, può essere sfruttato per tentativi di frode o furto d'identità, sollevando serie questioni sulla sicurezza delle identità digitali pubbliche e la resilienza dei sistemi informatici statali.
