丹麦中央人口登记系统（CPR）近日确认一起重大数据泄露事件：未授权人员借助一家合法拥有查询权限的丹麦企业账户，非法获取了约 880 万名登记者的姓名、住址与 CPR 号码。丹麦数字事务部长 Christina Egelund 称其为“极其严重”的安全事件，当局已向数据保护机构报案并展开刑事调查。
事件概述
CPR 管理机构于 10 月 2 日晚发现系统中存在异常活动，随后在周末确认 9 月内发生了为期约 10 天的未授权查询。泄露数据覆盖姓名、住址与 CPR 号，涉及在世居民、已移居海外者以及已故人士，共计约 880 万人。丹麦现有人口约 600 万，而 CPR 保有约 1100 万人的记录。选择姓名与地址保护登记的居民不在泄露范围内。涉事企业的 CPR 访问权限已被停用，警方与相关部门正在调查，尚未确认攻击者身份。
技术细节
此次入侵并非直接攻破 CPR 系统，而是滥用供应链式的第三方合法访问。一家依法获准查询 CPR 的小公司账户被攻击者利用，借此批量拉取数据。据丹麦广播公司 DR 报道，案件的发现源于该公司 9 月账单出现异常高额的查询费用——CPR 按次收费，异常账单触发了告警。丹麦网络安全委员会主席 Jacob Herbst 批评这种发现方式“令人震惊”，认为系统本应能监测到大规模数据下载，尤其是来自小公司的下载行为，而非依赖计费环节的偶然发现。
影响评估
CPR 号相当于丹麦的社会保障号码，是政府、银行与医疗体系识别个人的核心标识。安全专家 Jan Kaastrup 指出，CPR 号一旦泄露就无法更换，等同于“终身通用的一把密码”。这意味着被泄露的 880 万人将长期面临身份冒用、精准钓鱼与社工攻击风险，数字事务部已提醒民众警惕可疑来电与邮件。首相 Mette Frederiksen 表示此事“本不该发生”，要求彻查所有线索并采取必要措施。
修复建议
对机构而言，此案的关键教训是“合法访问也要持续监控”：应对第三方账户的查询量与频次做基线建模，对批量拉取、非工作时段访问与异常计费设置实时告警，把事中对账替代单纯事后审计；同时最短化授权范围与有效期，按最小必要原则分配字段级权限。对个人而言，应警惕引用 CPR 号、住址或亲属信息的钓鱼线索，收到可疑电话或邮件时通过官方渠道回拨核实，避免直接回复或点击其中链接。