I september 2026 hämtade någon namn, adress och personnummer för omkring 8,8 miljoner personer ur Danmarks folkbokföringsregister CPR. Det gick via Pays, ett it-företag i Odense med två anställda som hade laglig åtkomst till registret. Den 10 oktober berättade Politiken att tre av företagets konton, bland dem administratörskontot, hade lösenordet 123456. Svenskar som har bott i Danmark kan finnas bland de drabbade.
Läckan upptäcktes på en faktura
Danska företag som har tillgång till CPR betalar för varje sökning. Via Pays konton gjordes omkring 14 miljoner sökningar, och 8,8 miljoner av dem gav träff. Det var när CPR-kontoret skulle fakturera företaget som någon reagerade. Myndigheten fick veta om det kvällen den 2 oktober, och digitaliseringsministeriet gick ut med det den 5 oktober.
Den obehöriga hade tillgång i sammanlagt 21 dygn och 17 timmar från den 10 september. Registret omfattar också avlidna och personer som flyttat från Danmark. De som har skyddad adress berördes inte. Polisens enhet för särskild brottslighet utreder, och den 6 oktober fanns ingen misstänkt.
Ett gammalt lösenord och 123456
En anonym person har sagt till Politiken att hen låg bakom och kom in med ett läckt lösenord från en tidigare anställd på Pays. Politiken fann dessutom att minst tre profiler hos företaget hade lösenordet 123456. Ett av kontona var administratörskontot. Företagets vd har bekräftat att åtkomsten missbrukats men inte svarat på frågor om säkerheten.
Digitaliseringsministern Christina Egelund har sagt att säkerheten inte var tillräckligt bra och beställt en granskning av hela CPR-systemet. CPR-kontoret har skrivit till alla 1 039 företag med åtkomst, bland dem banker, teleoperatörer, advokatbyråer och försäkringsbolag. De ska ha en säkerhetsansvarig, kontrollera vilka anställda som har åtkomst och följa hur många sökningar som görs varje månad.
Vad det betyder i Sverige
Den som har varit folkbokförd i Danmark finns kvar i CPR, också efter flytten hem. Den som bor i Sverige och pendlar till jobbet i Danmark har oftast ett skattepersonnummer, och det är oklart om de numren ingår. Danska myndigheter råder alla att aldrig lämna ut lösenord eller koder på telefon eller mejl, även om den som ringer vet ens namn, adress och personnummer.
För ett litet företag är lärdomen att ett enda konto kan räcka. Stäng konton när någon slutar, ge varje konto ett eget långt lösenord och slå på tvåstegsverifiering där det går. En lösenordshanterare gör det lättare att ha olika lösenord överallt, och vår nyhet om tvåstegsverifiering visar hur du slår på det för webbhotellet.
