デンマーク CPR 不正アクセス ── 民間企業の正規の照会権限から880万人分

2026年10月5日（月）午前7時、 デンマークの研究・教育・デジタル化省は、 中央個人登録（CPR）から約 880万人分の氏名・住所・CPR 番号などが不正に取得されたと発表した。 Christina Egelund 大臣は国会（Folketing）の産業・デジタル化委員会に報告したと述べた。 攻撃者は登録簿に「侵入」したのではない。 民間企業1社が持つ正規の照会権限を使い、 数百万回の照会を重ねていた。

なぜ880万人なのか

この数字はデンマークの人口より大きい。 省はその理由も説明している。 CPR には約1,100万人が登録されており、 現在の居住者のほか、 死亡した人と国外へ転出した人も残る。 880万人には存命者・転出者・死亡者が含まれる。

侵入ではなかった

登録簿は、 ふつうの意味でハッキングされたわけではない。 CPR 法第38条により、 正当な利益を持つ民間企業は、 顧客や会員など、 あらかじめ1人ずつ特定した範囲の人について登録データの提供を受けられる。 この権限を持つ企業は1,000社を超え、 銀行、 通信会社、 法律事務所、 労働組合、 保険会社などが含まれる。 省によれば、 不正な者たちはデンマークの民間企業1社の正規の照会権限を使って CPR を検索しており、 その範囲は民間企業が受け取れるデータの項目内にとどまっていた。

デンマーク データ保護庁（Datatilsynet）は、 10月4日（日）に CPR から受けた届け出の内容として、 有効な CPR 番号を特定する目的で、 自動化された照会が CPR システムに対して非常に多数行われたと述べている。

その企業のシステムがどう乗っ取られたかは、 公式には説明されていない。 当局は企業名を明らかにしておらず、 DR はフュン島の小さなソフトウェア会社だと報じた。 TV 2 によれば、 CPR 当局は Datatilsynet への届け出で、 照会数がその企業の顧客数をはるかに上回ること、 そして企業側が照会は自社で行っていないと表明したことを記している。

請求書で見つかった

企業は照会ごとに料金を払う。 省の部長 Mikkel Leihardt は会見で、 金曜夜の請求処理で非常に大きな金額が計上されたことが当局の注意を引いたと説明した。 経過はのちに、 CPR 当局が Datatilsynet に出した届け出を情報公開請求で入手した TV 2 の報道で補われた。

対応

CPR 当局はその企業のアクセスを止め、 Datatilsynet に届け出て、 警察が捜査を始めた。 10月6日の会見で警察は、 他国の警察と連絡を取っていると述べた。 省の発表は、 捜査は初期段階にあり誰が背後にいるかは現時点で言えないとしている。 Datatilsynet は、 何が起きたのか、 なぜ起こりえたのか、 該当する個人データの処理に誰が責任を負うのかを調べているが、 現時点では評価できないと述べた。 のちに匿名の人物が新聞 Politiken に犯行を名乗り出たが、 当局はその説明を確認していない。

誰もが知っている番号

CPR は1968年から、 デンマークに住む人・住んだことのある人をすべて記録してきた。 その番号は、 官民のサービスが住民を1人ずつ見分けるための鍵になっている。 今回の事件は、 その仕組みに潜む緊張をあらわにした。 漏れたデータの大半は、 もともと登録簿が1,000社以上に提供している項目である。 欠けていたのは、 小さな会社の1つのアカウントが、 そのすべてが顧客であるはずのない数百万人を照会しているときに、 それが本当に顧客照会のように振る舞っているかを確かめる仕組みだった。 同じ年の Canvas 侵害とは違い、 恐喝文も改竄されたログイン画面もない。