丹麥 880 萬人資料外洩 自稱黑客：IT 公司帳戶密碼是 123456

880 萬人資料外洩，自稱黑客：入口密碼是 123456

丹麥中央人口登記冊（CPR）遭入侵，政府確認約 880 萬人的姓名、地址及 CPR 號碼被取走。一名自稱攻擊者的人其後向丹麥報章《政治報》（Politiken）表示，入口只是一間 IT 公司的帳戶，密碼為「123456」。

據《政治報》查證，涉事公司 Pays ApS 至少三個帳戶用同一個密碼，當中包括管理員帳戶。據 The Register 報道，密碼一說來自攻擊者本人，丹麥政府未有回應相關提問。

一張發票揭發入侵

據 The Register 引述丹麥電視台 TV 2 取得的文件，攻擊者 2026 年 9 月 10 日取得系統存取權，9 月 10 日至 20 日期間進行約 1,400 萬次自動查詢。據 eBuilder Security 整理，CPR 管理處在 10 月 2 日晚上的發票結算中，發現該公司 9 月的收費異常龐大，當日即中止其存取權，並通報丹麥數據保護局（Datatilsynet）。

10 月 5 日，丹麥研究、教育及數碼化部公開事件。部門主管 Mikkel Leihardt 翌日在記者會上交代，事件由一名職員留意到發票上的異常活動而揭發。

涉事公司：一間持合法存取權的小企業

Pays ApS 位於菲因島（Funen），持有合法的 CPR 存取權，替客戶核對商業客戶的登記資料。政府最初沒有點名，該公司董事總經理兼東主 Sophie Laursen 其後在 10 月 9 日向 TV 2 承認：「我們可以確認，我們就是遭受攻擊的公司。」該公司網站已下線。

自稱攻擊者的人 10 月 8 日聯絡《政治報》，稱前員工外洩的密碼已足以登入，又表示不會出售或公開資料。警方未有證實這些說法。

不止丹麥的問題

CPR 登記冊約有 1,100 萬筆紀錄，包括已故及移居海外人士；受姓名及地址保護的人沒有受影響。CPR 號碼在丹麥用於報稅、醫療及銀行服務。丹麥政府機構 Styrelsen for Samfundssikkerhed 的 Laila Reenberg 在 10 月 6 日呼籲企業及政府機構，不要再單憑 CPR 號碼核實身份。

「123456」多年來被保安研究員列為最常見、最易被猜中的密碼之一。這次被用來守住的，是一個國家大部分人口的身份資料。

來源

• '123456' password linked to Denmark data breach affecting 8.8M people（2026 年 10 月 13 日）（The Register）
• Denmark CPR Breach: 8.8 Million Records Pulled via Pays ApS（eBuilder Security）
• Denmark Says Attackers Accessed CPR Data for 8.8 Million People via Company Account（The Hacker News）