Danemark : la fuite du registre CPR touche 8,8 millions de personnes

Le registre central de la population du Danemark, le CPR, a annoncé le 5 octobre 2026 une fuite de données qui touche environ 8,8 millions de personnes inscrites. L’information vient de Bleeping Computer, qui s’appuie sur les communiqués du CPR et de l’autorité danoise de protection des données. Nous ne disposons à ce stade que de cette source, et le bilan peut encore évoluer : les autorités disent elles-mêmes chercher à établir l’ampleur exacte de l’incident.

Un accès légitime détourné

Le CPR est l’état civil national danois. Il rassemble les informations personnelles des personnes inscrites : nom, adresse, date de naissance, situation matrimoniale et numéro CPR, un identifiant propre à chaque personne.

L’intrusion a eu lieu en septembre 2026. L’administration du registre l’a découverte le 2 octobre, puis en a mesuré l’ampleur pendant le week-end qui a suivi. Selon le CPR, les attaquants n’ont pas forcé directement le système : ils ont détourné l’accès légitime d’une entreprise privée danoise. L’autorité de protection des données précise qu’ils ont procédé par force brute. Ils ont essayé des numéros CPR en masse pour repérer ceux qui existent, puis ont extrait les données liées à chaque fiche trouvée.

On ne sait pas encore comment l’entreprise a été compromise. Bleeping Computer indique avoir interrogé l’autorité sur ce point, sans réponse au moment de sa publication. L’accès de l’entreprise a été coupé et la police a ouvert une enquête. La ministre chargée du numérique a informé la commission parlementaire compétente et annoncé de nouvelles mesures de sécurité pour éviter qu’un incident semblable se reproduise.

Qui est concerné

Le chiffre de 8,8 millions demande une précision. Le registre contient aujourd’hui des données sur 11 millions de personnes : la fuite en touche donc environ 80 %, une large majorité mais pas la totalité. Elle ne concerne pas seulement les résidents actuels. Elle inclut aussi des personnes parties vivre à l’étranger et des personnes décédées. Il serait donc inexact de dire que chaque habitant du Danemark est concerné, mais une personne inscrite au registre a de fortes chances de l’être, même si elle ne vit plus dans le pays.

Les données exposées

D’après le CPR, les attaquants ont obtenu des noms, des adresses, des numéros CPR et d’autres informations sur les personnes inscrites. La source ne détaille pas ces autres informations. Le registre contient aussi la date de naissance et la situation matrimoniale, mais rien ne dit à ce stade si ces champs font partie des données extraites.

Ce qui est établi suffit pourtant à créer un risque réel. Le nom, l’adresse et l’identifiant national d’une personne, réunis, permettent à un escroc de se présenter comme une administration, une banque ou un service public avec des détails qui inspirent confiance.

Les risques et les précautions

Les autorités appellent les personnes concernées à la plus grande vigilance face aux sollicitations non désirées : appels, e-mails ou messages du même type. Leur consigne est simple. Ne communiquez jamais de mot de passe ni d’information confidentielle en réponse à une telle sollicitation, même si votre interlocuteur connaît votre nom, votre adresse et votre numéro CPR.

Une ligne d’assistance dédiée a été ouverte pour les personnes potentiellement concernées. Une aide et des conseils sont aussi disponibles sur sikkerdigital.dk. Si vous avez été inscrit au registre danois, y compris si vous avez quitté le pays, ces consignes vous concernent.

Désormais, qu’un interlocuteur connaisse votre numéro d’identité ne prouve plus qui il est. C’est cette règle qu’il faut garder en tête à chaque appel.