Une faille dans le registre de population danois expose les risques de l'État numérique européen

Le Danemark enquête sur l'une des plus importantes violations de données personnelles de son histoire, après que des utilisateurs non autorisés ont accédé à des informations concernant environ 8,8 millions de personnes via le Registre central de la population (CPR). Les données compromises comprennent des noms, des adresses et des numéros CPR, qui servent d'identifiants personnels permanents utilisés dans les systèmes de santé, bancaires et d'administration publique du Danemark. L'incident a été divulgué le 5 octobre après que les autorités ont détecté une activité inhabituelle dans le système en septembre.

Une connexion de confiance devenue point d'entrée

La violation ne semble pas résulter d'une compromission directe de l'infrastructure du CPR elle-même. Les attaquants ont plutôt exploité l'accès légitime d'une entreprise privée danoise au registre de population et ont utilisé cette connexion pour effectuer un très grand nombre de recherches automatisées. L'Agence danoise de protection des données a indiqué que cette activité visait à identifier des numéros CPR valides et a confirmé avoir reçu une notification formelle concernant l'incident le 4 octobre.

La distinction est importante. Le secteur public danois, hautement numérisé, repose sur l'autorisation donnée aux entreprises et institutions privées d'accéder aux bases de données de l'État à des fins légitimes. En vertu du droit danois, les entreprises ayant un intérêt justifié peuvent obtenir des informations du CPR dans des limites définies. La violation démontre comment un tel accès peut devenir une vulnérabilité systémique si un compte ou une connexion légitime est compromis.

Le CPR contient des informations sur environ 11 millions de personnes enregistrées, y compris les résidents actuels, les personnes ayant émigré et les personnes décédées. Le chiffre de 8,8 millions dépasse donc la population actuelle du Danemark, qui compte un peu plus de six millions d'habitants. Les personnes ayant spécifiquement demandé une protection de leur nom et de leur adresse n'étaient pas incluses dans les données concernées, selon les autorités.

La longue traîne des identifiants permanents

L'aspect le plus grave de l'incident n'est pas simplement le nombre d'enregistrements concernés, mais la nature des informations exposées. Contrairement à un mot de passe, un numéro CPR danois est destiné à rester associé à un individu à vie. Sa combinaison avec des noms et des adresses crée une base potentiellement durable pour la fraude à l'identité, l'hameçonnage ciblé et l'ingénierie sociale.

Les autorités danoises ont par conséquent averti les citoyens d'être particulièrement prudents face aux appels, courriels et autres communications qui semblent contenir des informations personnelles exactes. Connaître le nom, l'adresse et le numéro CPR d'une personne peut rendre les communications frauduleuses nettement plus convaincantes, même lorsque les attaquants n'ont pas accès aux comptes financiers ou aux mots de passe.

Les autorités n'ont pas identifié les responsables de l'opération. L'enquête est menée par la police en collaboration avec les agences concernées, tandis que l'Agence de protection des données examine comment les données ont été traitées et qui en porte la responsabilité. Les responsables ont souligné que l'enquête en est encore à un stade précoce et que les détails actuellement connus pourraient évoluer à mesure que l'enquête technique progresse.

Un problème structurel pour le modèle numérique européen

Pour le Danemark, cette violation est aussi un test des hypothèses de sécurité qui sous-tendent l'un des États numériques les plus avancés d'Europe. L'administration publique du pays dépend de bases de données interconnectées qui permettent aux citoyens d'utiliser un petit nombre d'identifiants numériques dans les domaines de la santé, de la fiscalité, des services bancaires et des services publics.

Cette architecture génère d'énormes gains d'efficacité, mais elle concentre aussi les risques. Lorsqu'un identifiant unique peut relier une grande partie de la relation d'un individu avec l'État, les conséquences d'une compromission s'étendent bien au-delà de la base de données où la violation a pris naissance. Le cas danois illustre un dilemme européen plus large : la numérisation des services publics peut rendre l'administration plus efficace tout en augmentant simultanément l'impact potentiel d'une seule défaillance de sécurité.

Le problème est particulièrement pertinent alors que les gouvernements européens développent les systèmes d'identité numérique et intègrent les infrastructures publiques et privées. Le cadre NIS2 de l'UE est conçu pour renforcer la cybersécurité et la résilience dans les secteurs critiques et les autorités publiques, avec des exigences supplémentaires en matière de mesures de sécurité, de signalement des incidents et de supervision.

L'expérience danoise suggère que la protection de tels systèmes exige plus que la sécurisation des serveurs gouvernementaux. Le périmètre de sécurité inclut de plus en plus les entreprises privées, les sous-traitants et d'autres organisations disposant d'un accès légitime à l'infrastructure de l'État. Un point faible dans cet écosystème plus large peut donner à un attaquant un accès qui contourne nombre des contrôles entourant le système gouvernemental central.

Le Danemark engage une révision du système

Le gouvernement danois a ordonné un examen de sécurité complet du CPR et a déjà suspendu l'accès de l'entreprise concernée pendant que les autorités reconstituent l'ensemble du déroulement des événements. Le gouvernement a également prolongé les heures d'ouverture de sa ligne d'assistance en matière de sécurité numérique alors que l'enquête se poursuit.

L'incident est l'événement de sécurité le plus important impliquant le CPR depuis 2015, lorsque des CD physiques contenant des informations sur plus de cinq millions de personnes ont été livrés par erreur au Centre de demande de visa chinois à Copenhague. Le cas le plus récent est fondamentalement différent : plutôt qu'un transfert accidentel de données, il implique l'exploitation d'un mécanisme d'accès numérique légitime à une échelle bien plus grande.