Au Danemark, un compte lié au registre civil aurait été protégé par « 123456 ». Un pirate affirme avoir consulté les données de 8,8 millions de personnes. Cette affaire rappelle pourquoi la sécurité des accès relève directement de la protection des données.
Un mot de passe faible facilite l’intrusion, surtout lorsqu’un compte externe ouvre l’accès à un registre public. La fuite de données signalée au Danemark met en cause la sécurité informatique d’une chaîne d’accès complète, pas seulement un choix individuel. Pour les entreprises, la priorité consiste à vérifier les comptes tiers, les droits accordés et les contrôles d’authentification.
En bref
- Le pirate présumé dit avoir utilisé un compte lié à Pays ApS pour accéder au registre CPR.
- Le mot de passe « 123456 » aurait protégé au moins trois comptes, dont un compte administrateur.
- Selon son récit, l’accès aurait duré 21 jours et permis l’extraction de 8,8 millions de dossiers.
- Les organisations doivent contrôler les accès externes, activer une authentification forte et retirer les comptes inutiles.
Comment « 123456 » aurait ouvert le registre CPR
Le ministère danois du Numérique a signalé une intrusion dans le registre civil CPR. Les informations citées comprennent des noms, des adresses et des numéros CPR. La ministre Christina Egelund a qualifié l’incident de très grave. Le volume évoqué atteint 8,8 millions de dossiers.
Le pirate présumé a confié au quotidien Politiken avoir utilisé le mot de passe d’un ancien salarié de Pays ApS. Cette petite société disposait d’un accès légal au registre pour ses activités. Selon les informations publiées, trois comptes de l’entreprise auraient utilisé « 123456 ». L’un d’eux aurait eu des droits d’administration.
Le récit du pirate situe le début de l’accès au 10 septembre, puis décrit une période de 21 jours. Il affirme avoir créé deux programmes : l’un aurait extrait les données, l’autre les aurait transférées vers un serveur externe. Politiken dit avoir examiné un fichier de numéros CPR transmis par sa source. La direction de Pays ApS a reconnu le détournement d’un accès légitime.
Cette méthode ne relève pas d’une faille complexe ou d’une attaque par logiciel malveillant sophistiqué. Un mot de passe parmi les plus prévisibles peut suffire, si les droits associés sont trop larges. Le risque concerne aussi les PME qui gèrent des comptes de fournisseurs ou de sous-traitants. Un seul accès mal protégé peut devenir une porte vers des données sensibles.
Pour réduire le risque, les entreprises peuvent encadrer leurs identifiants avec un gestionnaire de mots de passe adapté aux équipes. Les comptes externes doivent aussi faire l’objet d’un contrôle régulier. L’accès doit correspondre à une mission précise, avec une date de fin définie.
Pourquoi cette fuite de données menace les entreprises
Un numéro CPR associé à un nom ou une adresse peut faciliter l’usurpation d’identité. Les données personnelles volées peuvent aussi alimenter des tentatives de fraude ciblées. Les cybercriminels peuvent combiner ces informations avec des mots de passe déjà divulgués. La fuite crée donc un risque durable, même après la fermeture de l’accès initial.
Pour une PME française, l’alerte porte sur la gestion des comptes externes. Un prestataire peut disposer d’accès utiles, mais son compte doit rester limité. Il faut examiner qui peut consulter, modifier ou exporter des données. Une revue régulière des privilèges réduit le périmètre d’une intrusion.
La durée rapportée, soit 21 jours, montre aussi l’intérêt des alertes sur les usages inhabituels. Une extraction massive peut se repérer par le volume, l’horaire ou la destination des transferts. Les journaux d’accès doivent permettre une enquête rapide. Sans traces exploitables, la détection et l’évaluation du préjudice deviennent plus difficiles.
Les données d’accès volées peuvent ensuite servir au credential stuffing, qui teste des mots de passe réutilisés sur plusieurs services. Une organisation peut limiter ce risque grâce à une défense contre les essais d’identifiants réutilisés. L’authentification multifacteur ajoute un contrôle utile, surtout pour les comptes à privilèges. Une clé physique réduit davantage le risque de vol par hameçonnage.
Le tableau ci-dessous résume les mesures qui répondent aux faiblesses évoquées dans cette affaire. Elles concernent aussi les équipes qui confient des accès à des partenaires. La cybersécurité dépend autant des règles d’accès que du niveau technique des outils. Une vérification simple vaut mieux qu’un compte oublié.
| Risque constaté | Mesure prioritaire | Contrôle attendu |
|---|---|---|
| Mot de passe prévisible | Phrase secrète unique et longue | Vérifier les comptes exposés |
| Compte externe trop puissant | Réduire les droits au besoin réel | Revoir les privilèges à intervalles réguliers |
| Accès sans second contrôle | Activer l’authentification multifacteur | Préférer une application ou une clé physique |
| Export massif non repéré | Journaliser les accès et transferts | Déclencher des alertes sur les volumes inhabituels |
Quelles mesures adopter après le cas danois ?
Les mots de passe « 123456 », « password » ou une date de naissance restent faciles à deviner. Les règles internes doivent interdire leur usage, sans imposer des changements mécaniques trop fréquents. Un secret long, unique et stocké dans un outil dédié réduit les erreurs humaines. Les responsables peuvent consulter ce guide pour choisir un mot de passe sécurisé.
Un gestionnaire d’entreprise aide à créer des secrets distincts et à les partager sans les transmettre par courriel. Il permet aussi de retirer rapidement un accès lors d’un départ. Les équipes doivent vérifier les comptes des anciens salariés et des fournisseurs. Toute autorisation sans usage actuel doit être supprimée.
La double authentification constitue une barrière supplémentaire, mais toutes ses formes ne se valent pas. Une application dédiée ou une clé physique résiste mieux aux attaques par hameçonnage que les codes reçus par SMS. Pour les comptes administratifs, l’entreprise peut aussi étudier les clés de sécurité matérielles. Ces choix réduisent la dépendance au seul mot de passe.
