丹麦国家人口登记系统CPR遭未授权访问：约880万名登记人员的姓名、住址与CPR号码被获取，政府称「极其严重」

丹麦中央人口登记系统（Det Centrale Personregister，CPR）于2026年10月5日确认发生严重安全事件。经核查，不明身份者通过滥用一家丹麦企业依法享有的CPR查询权限，非法获取了约880万名登记人员的姓名、住址及CPR号码等数据。CPR号码相当于丹麦的社会安全号，是公共行政、金融银行与医疗服务中核验个人身份的核心标识。丹麦现有人口约600万，但CPR保存约1100万人的记录，包含已故者与已移居海外者，因此受影响人数远超在籍人口。

事件披露的细节显示，攻击者并非直接攻破CPR系统，而是先入侵一家依法获准访问CPR的丹麦企业，再借由该合法访问路径批量查询数据。CPR管理机构已停止该企业的系统访问权限，并与专家及各主管部门共同梳理事件经过；事件已向丹麦数据保护局报告，并由警方会同相关机关展开刑事调查。截至目前，官方尚未确认幕后人员的身份。据管理部门的说明，最早于10月2日监测到异常活动，并在周末排查中证实未授权查询发生在9月期间。

丹麦数字化大臣克里斯蒂娜·埃格伦德（Christina Egelund）在声明中称这是一起「极其严重的事件」，并已责令对CPR系统开展全面安全审查。官方同时提示，系统中已申请信息保密防护（隐藏真实住址与身份）的登记人员信息未受本次事件影响；数字事务部提醒全体民众警惕可能随之而来的可疑电话与钓鱼邮件，尤其是对方可能已掌握其姓名、地址与CPR号码的情形。

本案的合规价值在于它精准落在「第三方合法访问通道」这一长期被低估的风险面上。攻击者不需要突破边界防御，只需要拿到一个有合法查询权限的账户，就能把国家登记库当作开放数据源批量读取。这与近期多起监管处罚所指向的执法逻辑一致——瑞典IMY罚Miljödata、罗马尼亚ANSPDCP罚GLOBAL CUSTOMER CARE SERVICES，罚的都不是「被入侵」本身，而是入侵前缺失的具体访问控制与日志监控。对承接政务数据查询、身份核验类业务的企业而言，本次事件是「权限最小化」与「查询行为异常检测」最直观的反面教材。