丹麦CPR系统曝大规模数据泄露，黑客以“123456”弱密码入侵

丹麦国家民事登记系统（CPR）近日发生重大数据泄露事件。据丹麦官方及媒体披露，菲英岛信息技术公司Pays ApS的至少三个账户（含管理员权限）在遭黑客入侵时使用了“123456”这一极弱密码。攻击者自9月10日起滥用该公司合法访问接口，在约10至22天内非法抓取了约880万人的姓名、住址及CPR号码等核心数据，并于10月初因异常高额账单暴露。 网络安全专家严厉批评该企业的密码策略“形同虚设”，指出此类基础漏洞必然导致失守。丹麦公共安全局（Samsik）随即发布安全通告，明确CPR号码已不再具备唯一身份核验效力，强制要求金融机构与企业转向MitID或动态验证码等替代方案。受此波及，全国药房及医疗机构已全面升级取药与问诊的身份验证流程。丹麦工业协会警告，若系统权限被收紧，将显著推高企业合规成本并加剧身份冒用风险。目前，丹麦数字与教育部已启动系统性安全审查，国家网络应急响应热线亦延长服务时间以防范衍生诈骗。此次事件再次敲响了公共数字基础设施权限管控与基础安全规范的警钟。