本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
デンマークの中央個人登録簿「CPR」の約880万人分の情報への権限のないアクセスを巡り、実行者を名乗る人物は、パスワード「123456」の企業アカウントを使ったと説明した。2026年10月13日付のThe RegisterがPolitikenの取材内容を紹介したもので、企業の複数アカウントが同じパスワードを使用していたとの報道もある。
企業の検索権限とアカウントを巡る説明
デンマーク政府が10月5日（現地時間）に公表した発表によると、民間企業が合法的に持つCPRの検索権限が悪用された。DK Nytに掲載されたRitzauの記事によると、IT企業Paysの経営者Sophie Laursenも、TV 2へのメールで同社の検索権限が悪用されたと回答した。
10月9日付のRitzau記事は、Politikenによる調査を紹介している。実行者を名乗る人物が利用したとする過去の漏洩資料には、Paysの少なくとも3つのアカウントがパスワード「123456」を使用していた記録があり、そのうち1つは管理者アカウントだったという。The Registerは、パスワードに関する追加質問への回答をPaysから得られなかったとしている。
Ritzauによると、この人物は元従業員の漏洩済みパスワードを利用し、情報の検索と外部保存に使う2つのプログラムを作成したと説明した。13日付の同通信社の記事では、Politikenが確認したプログラムについて、専門家2人がAIによって生成されたコードと判断したことも伝えている。
また、本人は取得情報を販売・公開する意図はないと述べている。ただし、「123456」が実際の侵入経路だったかどうかは公式に確認されていない。
登録情報の対象範囲と当局の対応
政府が確認したアクセスの対象は、氏名、住所、CPR番号など約880万人分の登録情報で、民間企業が取得できる範囲の情報だった。CPRには存命者のほか、国外転出者や死亡者など約1100万人が登録されている。
政府の調査では、氏名・住所保護を登録した人の氏名と住所は、今回の権限のないアクセスに含まれていなかった。
CPR管理当局は10月2日夜（現地時間）、9月中の不規則な動作を把握し、当該企業のアクセスを停止した。政府発表によると、5日時点では警察が関係当局と協力して捜査していた。
監督当局Datatilsynetは4日に事故の通知を受け、経緯や発生方法、個人情報処理の責任主体などの調査を開始した。通知には、大量の自動検索によって有効なCPR番号が識別されたとの記述がある。
また、10日付のRitzau報道によると、CPR管理当局は検索権限を持つ1039社に対し、安全管理の徹底を求める通知を送付した。従業員のアクセス権限や検索件数の継続的な確認などを求めている。
参考・出典
- ‘123456’ password linked to Denmark data breach affecting 8.8M people
- Omfattende uautoriseret adgang til borgeres CPR-oplysninger — Forsknings-, Uddannelses- og Digitaliseringsministeriet
- Medie: Tre profiler hos virksomhed i datalæksag brugte koden “123456”
- Datatilsynet er opmærksom på sag om opslag i CPR
