La fuite du registre national danois CPR expose les données de 8,8 millions de personnes

Le 5 octobre 2026, le Danemark — par l'intermédiaire de l'autorité de numérisation de son gouvernement — a révélé un incident de sécurité majeur touchant le registre central des personnes (CPR), la base de données nationale qui attribue à chaque résident un numéro d'identification unique à dix chiffres utilisé dans les services publics, la banque et la santé. Des acteurs non identifiés ont détourné l'accès légitime d'une entreprise privée danoise au registre pour extraire les données d'environ 8,8 millions de personnes, bien au-delà de ce que l'autorisation de l'entreprise, prévue par la réglementation danoise, aurait dû permettre.

Les informations exposées comprennent les noms, adresses et numéros CPR, ainsi que d'autres données conservées dans le registre. Comme le CPR contient les enregistrements des résidents vivants, des personnes ayant émigré et des personnes décédées, le chiffre de 8,8 millions dépasse la population résidente du Danemark, d'environ six millions d'habitants. Les personnes ayant demandé une protection de leur nom et de leur adresse n'ont pas été exposées par la fuite.

Détection et réponse

Un comportement irrégulier dans le système CPR a été détecté pour la première fois dans la soirée du vendredi 2 octobre 2026, l'accès non autorisé étant remonté à un moment non précisé de septembre. L'entreprise concernée a été bloquée du système pendant que la police ouvrait une enquête, les autorités indiquant qu'il était trop tôt pour déterminer qui était à l'origine de la fuite. La ministre de la Numérisation Christina Egelund a qualifié l'incident de « profondément grave », a ordonné un examen de sécurité complet du système CPR et a exhorté les résidents à se méfier des communications suspectes.

Pourquoi c'est important

Cette fuite est l'une des plus importantes jamais subies par le Danemark et met en lumière un risque systémique récurrent : un registre public bien défendu peut tout de même être vidé en masse via les identifiants d'un tiers de confiance. Les numéros CPR sont profondément ancrés dans la vérification d'identité au Danemark, de sorte que leur exposition massive accroît le risque de fraude à l'identité et d'hameçonnage ciblé pour la quasi-totalité de la population, même si les champs divulgués ne vont pas jusqu'aux données financières ou de santé.