丹麥中央人口註冊資料庫遭駭：880 萬人個資外洩，兇手是密碼「123456」

編按：本文綜合整理自 CPH Post、TechCrunch、Help Net Security、Conscia、Sweden Herald，並加入 Siami 編輯部觀點與分析。

丹麥政府 10 月 5 日證實，承載全國 880 萬人個資的中央人口註冊資料庫（Central Person Register，簡稱 CPR）在 9 月期間遭未授權存取，這是該國史上最大規模的資料外洩事件。CPR 為什麼關鍵？因為這 10 位數號碼不只是身分證字號，而是連結稅務、健保、銀行帳戶、選舉登記與社會福利的核心金鑰——一個號碼就能驗證你是誰。

一、事件規模：每一個有 CPR 號碼的人都中

官方數字：約 880 萬人受影響，相當於丹麥 600 萬現住人口的 1.5 倍——因為資料庫還含海外僑民與已故者的紀錄，總容量約 1100 萬筆，外洩涵蓋約 80%。
外洩欄位：姓名、地址、CPR 號碼（即身分證字號）。丹麥政府強調「已申請個資保護（即不公開姓名地址）」的民眾未受影響。
發現時間：CPR 管理局在 10 月 2 日傍晚發現 9 月期間的異常活動，10 月 4 日通報丹麥資料保護局（Datatilsynet），10 月 5 日由丹麥科研與教育部長 Christina Egelund 對外公布。
涉案公司未公開，僅稱「一家持有 CPR 合法查詢權的丹麥公司」。但根據丹麥媒體 CPH Post 與 Sweden Herald 後續報導，這家公司是位於 Funen 的 IT 公司 Pays，至少有 3 個帳號的密碼是 123456，含一個前員工已外洩的密碼。

二、攻擊手法：不是入侵，是合法存取被濫用

駭客告訴《Politiken》：「你當然不該偷別人的行李。但你也不該把核燃料丟在車站沒人看。」

這句話精準命中整起事件的本質。丹麥政府強調，攻擊者並未攻破 CPR 系統本身，而是濫用一家私營公司的合法查詢權來大量撈資料。

更具體地說，根據丹麥資安部落格 Conscia 的威脅情資分析，這次攻擊其實是枚舉攻擊（enumeration）：

第三方程式依《CPR 法》只能查與其有正當業務關係的特定族群（例如自己的客戶）。
但駭客利用 3 個 123456 帳號，發動大量自動化查詢，目的不是看特定某人，而是反向驗證「這 870 萬個 CPR 號碼裡哪些是有效的」。
結果等於把整個資料庫的有效身分字號清單打包出來。

最諷刺的是：資安監控沒有抓到這件事。是帳單抓到的——因為這家私營公司按查詢筆數付費給丹麥政府，9 月的帳單金額異常高，才讓 CPR 管理局發現有人在撈資料。

三、Siami 觀點：為什麼這件事重要

這次事件不是單純的「某公司被駭」，而是把整個歐洲數位治理的三大病灶一次攤在陽光下。

第一，委託第三方存取權的失控。CPR 是「按訪問計費」的設計，這在商業邏輯上沒錯，但在資安邏輯上是危險訊號：只要帳號還有效、密碼夠弱，就能合法查整個資料庫。這代表丹麥在設計制度時，是信任「公司會自我約束」，而不是用技術強制力畫死邊界。

第二，MFA 沒有落到位的死亡谷。丹麥政府花了 12 天才發現入侵——不是因為技術難，而是因為「沒有 MFA 強制 + 沒有異常查詢告警」。一家能查 880 萬人個資的承包商，密碼竟然還是 123456 並重用前員工密碼，這不是單一疏失，而是該國資安治理層級的「供應鏈安全盲區」。

第三，核燃料比喻的深層意義。駭客那句「不該把核燃料丟在車站沒人看」其實是在諷刺：政府把最敏感的資料交給中小型承包商，卻不驗證這些承包商的存取控制強度。這不只是丹麥的問題——任何一個有國家級數位身分的國家（愛沙尼亞、新加坡、台灣的 TW ID）都面臨同一個問題：邊界守得緊，但「被信任的內圈」完全沒設防。

四、數據解讀：被外洩的 CPR 號碼能做什麼

880 萬組「姓名 + 地址 + CPR 號碼」的組合，在黑市上可以直接拿來做精準釣魚攻擊——因為攻擊者現在可以假裝是銀行、健保局、稅務機關，甚至能用對方的真實 CPR 號碼取得對方信任。

丹麥政府已發出警告：任何打來要你提供密碼、簡訊驗證碼、信用卡資料的電話 / Email，即使對方報得出你的姓名地址與 CPR 號碼，都不要相信。丹麥資安中心 sikkerdigital.dk 是官方唯一查證管道。

從產業衝擊看：

一旦 CPR 號碼外洩，無法換發新號碼——這不像台灣換發身分證字號，丹麥 CPR 是終生綁定。
金融業 KYC 流程必須全面重設，不能再單純用 CPR + 姓名驗證身份。
政府 80% 資料庫曝光相當於實質「數位身分系統癱瘓」——這比某一間公司被駭還要嚴重百倍。

五、各國應該學到的三件事

承包商存取權必須加上 MFA 強制 + 查詢次數上限 + 異常模式告警——三者缺一不可。
按查詢計費的政府資料 API 本身就是反指標——成本機制會鼓勵大量查詢，必須搭配異常偵測。
「信任第三方」不等於「不監控第三方」——丹麥 CPR 系統完全沒發現枚舉攻擊，這是技術問題，不是法律問題。

這次事件將成為 NIS2 指令與歐盟數位治理的重要判例，也會讓所有導入數位身分系統的國家重新檢視自己的「信任內圈」到底有沒有真的安全。