Mots de passe faibles et détection tardive lors de la violation du registre CPR danois

Des pirates ont exploité des identifiants faibles chez une petite entreprise informatique danoise pour accéder au système national d'enregistrement civil (CPR) pendant plus de trois semaines en septembre 2026. La violation a exposé des données personnelles liées à environ 8,8 millions de citoyens, mettant en lumière des défaillances critiques dans le contrôle d'accès de base et la surveillance.

Ce qui s'est passé

L'intrusion visait Pays ApS, une société informatique de deux employés basée à Odense qui disposait de droits d'accès légitimes pour interroger la base de données CPR. Selon les rapports de Politiken et TV 2, les attaquants ont obtenu l'accès en utilisant le mot de passe "123456" sur au moins trois comptes, dont un compte administrateur. Jens Myrup Pedersen, professeur à l'Université Aarhus, a qualifié cette posture de sécurité de « désespérée », notant que ces mots de passe courants figurent parmi les premières tentatives dans toute attaque automatisée.

Une fois à l'intérieur, l'attaquant a déployé des scripts personnalisés pour extraire les données et les stocker à l'extérieur. L'accès non autorisé a commencé le 10 septembre et s'est poursuivi jusqu'au 2 octobre, durant 21 jours et 17 heures. Les enquêtes préliminaires suggèrent que l'exfiltration active de données a peut-être cessé vers le 20 septembre, mais la connexion est restée ouverte pendant dix jours supplémentaires. La violation n'a été découverte que lorsque les autorités ont remarqué une facture anormalement élevée pour les requêtes de recherche, totalisant environ 14 millions de consultations, ce qui dépassait largement le volume opérationnel normal de l'entreprise.

Détails clés

• Entité compromise : Pays ApS, une petite entreprise informatique comptant deux employés, a confirmé qu'elle était le vecteur de l'attaque.
• Identifiants faibles : Au moins trois comptes, dont un compte admin, utilisaient le mot de passe "123456".
• Échelle de l'exposition : Des données liées à environ 8,8 millions de numéros CPR ont été consultées.
• Durée : L'attaquant a eu accès aux systèmes pendant 21 jours et 17 heures, du 10 septembre au 2 octobre 2026.
• Méthode de détection : La violation a été identifiée via des anomalies de facturation plutôt que par des alertes de sécurité, avec 14 millions de recherches signalées.
• Affirmation de l'attaquant : Un pirate anonyme a déclaré avoir utilisé un mot de passe divulgué appartenant à un ancien employé et n'avoir aucun plan pour publier les données.

Contexte

Le registre CPR est la base de données centrale d'enregistrement civil du Danemark, contenant des informations personnelles essentielles telles que les noms, adresses et numéros d'identification des résidents. Les entreprises privées peuvent demander l'accès à ce système si elles démontrent un besoin légitime, comme la vérification des adresses clients ou la gestion des listes de membres. Cet accès est généralement régi par des politiques d'utilisation strictes et des mécanismes d'audit pour prévenir les abus.

Dans ce cas, la faille de sécurité n'était pas une exploitation technique complexe, mais une lacune fondamentale dans la gestion des identités. L'utilisation de mots de passe faciles à deviner comme "123456" rend inutile le recours à des outils de piratage sophistiqués. De plus, le retard dans la détection souligne un problème courant dans les modèles d'accès tiers : sans surveillance en temps réel des volumes de requêtes ou des anomalies comportementales, les violations peuvent persister sans être détectées jusqu'à ce que des écarts financiers ou administratifs apparaissent.

Pourquoi c'est important

Pour les équipes gérant des logiciels auto-hébergés ou s'intégrant à des API externes, cet incident sert de rappel sévère que les facteurs humains surpassent souvent les défenses techniques. Même si votre infrastructure est durcie contre les attaques réseau, des identifiants faibles sur des comptes privilégiés créent une porte ouverte. Les petites équipes, comme l'entreprise de deux personnes impliquée ici, peuvent manquer de personnel dédié à la sécurité, les rendant vulnérables à des négligences simples ayant des conséquences majeures en aval.

La dépendance aux audits de facturation pour la détection est particulièrement préoccupante pour les responsables DevOps et IT. Attendre une facture inhabituelle signifie que les dégâts sont déjà faits. Dans un environnement auto-hébergé, vous devez considérer que la journalisation standard est insuffisante pour la surveillance de sécurité. Vous avez besoin d'alertes proactives pour les comportements anormaux, tels que des pics soudains d'appels API ou des tentatives de connexion depuis des lieux inhabituels, afin de réduire la fenêtre d'exposition.

De plus, l'utilisation de fournisseurs tiers ayant accès à des données sensibles élargit votre surface d'attaque. Si vous accordez à des partenaires externes ou à des services internes l'accès à des bases de données critiques, vous êtes responsable de garantir qu'ils respectent des normes de sécurité robustes. Une violation chez un petit fournisseur peut compromettre tout votre écosystème, entraînant un examen réglementaire et une perte de confiance.

Ce que vous pouvez faire

• Imposer des politiques de mots de passe forts : Exigez des mots de passe complexes et utilisez un gestionnaire de mots de passe pour éviter la réutilisation. N'autorisez jamais les mots de passe par défaut ou courants comme "123456".
• Mettre en œuvre l'authentification multifacteur (MFA) : Exigez la MFA pour tous les comptes administratifs et tout service ayant accès à des données sensibles.
• Surveiller activement l'utilisation des API : Configurez des alertes pour les pics inhabituels de volumes de requêtes ou d'exports de données, plutôt que de compter sur des revues mensuelles de facturation.
• Auditer l'accès des tiers : Passez régulièrement en revue qui a accès à vos systèmes et révoquez immédiatement les permissions des anciens employés ou des comptes inutilisés.
• Faire tourner les identifiants régulièrement : Changez les mots de passe et les clés API périodiquement, surtout après des changements de personnel ou lorsque la posture de sécurité d'un fournisseur est remise en question.
• Effectuer des tests d'intrusion : Simulez des attaques pour identifier les points faibles dans votre configuration d'authentification et de surveillance avant que de vrais attaquants ne le fassent.