デンマークで住民台帳880万人分が流出、正規アクセス権が悪用

デンマークの中央住民台帳「CPR」から約880万人分の個人情報が抜き取られた事件が報じられた。民間企業でも正当な理由があればCPRを検索できる仕組みを悪用され、Pays ApSというオーデンセの小規模IT企業（従業員2人）のアクセス権が入口になったという。

侵入は2026年9月10日に始まり、同月20日までに約1400万回の自動検索が行われたとされる。記事によれば、10日間で平均すると1秒に約16回の検索が走った計算になる。Pays側は正規のアクセス権が悪用されたことを認めている。

発覚のきっかけは、担当省の職員がPaysの利用が異常に多いことを示す請求書を見つけたことで、10月2日に気づかれた。10月4日にデータ保護当局へ報告され、5日に政府が公表した。攻撃手法はランサムウェアやAIの悪用ではなく、正規認証の大量検索による不正取得だったとされる。

今回の事案は国家規模のデータベースに対する「正規権限の悪用」による流出であり、運用上の監視や異常検知、第三者への付与されたアクセス権の管理の重要性を示している。報道は現時点での公表情報に基づくもので、流出の詳細な範囲や影響の全容は当局や関係者の追加発表を待つ必要がある。