Data van bijna negen miljoen Denen buitgemaakt
5 oktober 2026
Bijna negen miljoen geregistreerde personen in Denemarken zijn getroffen door een groot datalek bij het nationale bevolkingsregister. Onbevoegden kregen toegang tot namen, adressen en Deense burgerservicenummers (CPR-nummers). Het gaat niet alleen om mensen die nu in Denemarken wonen, maar ook om geëmigreerde en overleden personen. De autoriteiten hebben de toegang van het betrokken bedrijf stopgezet en de politie onderzoekt de zaak. De omvang maakt het incident uitzonderlijk, maar vooral de manier waarop aanvallers binnenkwamen roept vragen op over de beveiliging van gevoelige overheidsgegevens.
Aanvallers misbruikten bestaande toegang
De aanvallers drongen volgens de Deense autoriteiten niet simpelweg binnen door een technische zwakke plek in het register te kraken. Ze maakten misbruik van de legitieme toegang van een particuliere Deense onderneming, die gegevens uit het CPR-register mocht opvragen. Daardoor konden ze informatie verzamelen via een toegang die voor zakelijke doeleinden bedoeld was. De autoriteiten ontdekten in september afwijkend zoekgedrag en blokkeerden daarna de toegang van het bedrijf. Het onderzoek moet duidelijk maken hoe dit zo lang kon doorgaan en wie erachter zit.Miljoenen mensen geraakt
De buitgemaakte informatie omvat namen, adressen en CPR-nummers, het Deense equivalent van het Nederlandse burgerservicenummer. Het register bevat ongeveer elf miljoen geregistreerde personen, waaronder mensen die zijn overleden of naar het buitenland verhuisd. Daarom ligt het aantal getroffen gegevens hoger dan de huidige Deense bevolking. Volgens de eerste controle bleef de naam- en adresbescherming van mensen die daarvoor kozen intact. De autoriteiten benadrukken dat het onderzoek nog loopt en dat details kunnen veranderen.Rol van AI blijft onduidelijk
Berichtgeving in Denemarken meldt dat de hacker mogelijk kunstmatige intelligentie (AI) gebruikte om snel grote hoeveelheden gegevens te verzamelen. De autoriteiten hebben die rol echter niet bevestigd. AI kan taken zoals het verwerken van informatie versnellen, maar vormt niet automatisch de oorzaak van een datalek. In deze zaak springt vooral het misbruik van toegangsrechten in het oog. Wanneer een bedrijf grote hoeveelheden gevoelige gegevens kan opvragen, moeten systemen afwijkend gedrag herkennen en toegang beperken.Gestolen gegevens kunnen fraude makkelijker maken
Een CPR-nummer geeft op zichzelf niet direct toegang tot een bankrekening. In combinatie met een naam en adres kunnen de gegevens criminelen wel helpen om zich geloofwaardig voor te doen als een slachtoffer. Daardoor kunnen gerichte phishingberichten, telefoontjes of pogingen tot identiteitsfraude overtuigender worden. Criminelen kunnen bijvoorbeeld persoonlijke details noemen om vertrouwen te winnen. De Deense autoriteiten waarschuwen daarom dat mensen nooit wachtwoorden, codes of andere vertrouwelijke gegevens moeten delen, ook niet wanneer de beller hun persoonlijke informatie lijkt te kennen.Toegangsbeheer belangrijk
De zaak laat zien dat digitale veiligheid niet alleen draait om sterke firewalls of het voorkomen van hacks. Organisaties moeten ook controleren wie toegang heeft tot gegevens, hoeveel informatie die partij kan opvragen en of het gebruik logisch is. Bovendien moeten ze ongewone activiteiten snel signaleren en accounts direct intrekken wanneer toegang niet langer nodig is. Voor Nederlandse organisaties is dat een duidelijke les: beperk toegang tot persoonsgegevens, controleer leveranciers en gebruik extra identiteitscontroles. Voor burgers geldt ondertussen een praktische regel: controleer onverwachte verzoeken om gegevens altijd via een officieel kanaal.