Deens datalek roept vragen op over wachtwoord 123456
Nieuwe berichtgeving koppelt een zwakke toegangscode aan een lek waarbij gegevens uit het centrale persoonsregister zijn geraadpleegd.
De volgredacteur houdt het voor je bij
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
Minstens drie gebruikersprofielen van de Deense onderneming Pays zouden tijdens een groot datalek het wachtwoord ‘123456’ hebben gebruikt, waaronder een beheerdersaccount. Of die code ook de daadwerkelijke ingang tot het centrale persoonsregister vormde, is niet vastgesteld.
De Deense autoriteiten maakten eerder bekend dat onbevoegden via de rechtmatige toegang van een private onderneming gegevens uit het CPR-register hadden geraadpleegd. Het register bevat namen, adressen en persoonsnummers van ongeveer 8,8 miljoen geregistreerde personen, onder wie ook mensen die zijn overleden of naar het buitenland zijn verhuisd.
Nieuwe berichtgeving van Golem en het Deense persbureau Ritzau, gebaseerd op onderzoek van Politiken, meldt dat ten minste drie profielen bij Pays de code ‘123456’ gebruikten. Een van die profielen zou een beheerdersaccount zijn geweest. Pays heeft bevestigd dat zijn rechtmatige toegang tot het CPR-register is misbruikt.
De combinatie van de zwakke code en de toegang tot gevoelige overheidsgegevens trekt veel aandacht, maar de technische keten is nog niet volledig bekend. Er is geen onafhankelijke bevestiging dat een aanvaller de code heeft geraden, gekraakt of rechtstreeks heeft gebruikt om binnen te komen.
Volgens de berichtgeving had een onbekende persoon vanaf 10 september in totaal 21 dagen en zeventien uur toegang tot het register. De CPR-administratie merkte op 2 oktober afwijkend gedrag op en heeft de toegang van het betrokken bedrijf stopgezet. De politie en de Deense toezichthouder onderzoeken de zaak.
De Deense overheid zegt dat de onbevoegde toegang niet de namen en adressen van mensen met een beschermde registratie betrof. Wel gaat het om een zeer grote hoeveelheid persoonsnummers. Anders dan een wachtwoord kunnen zulke nummers niet eenvoudig worden vervangen, waardoor de zaak ook vragen oproept over het gebruik van persoonsnummers als identificatiemiddel.
Het incident laat daarnaast zien dat risico’s niet alleen bij overheidsservers liggen. Private bedrijven kunnen onder voorwaarden toegang krijgen tot delen van het CPR-register. De controle moet daarom ook gaan over toegangsrechten, logging, sterke authenticatie en het tijdig herkennen van een ongebruikelijk groot aantal opvragingen.
De Deense autoriteiten hebben nog geen definitieve reconstructie gepubliceerd en er is geen vastgestelde dader in de openbare informatie. Het wachtwoord is daarmee een ernstig beveiligingssignaal, maar geen bewezen verklaring voor het hele datalek.
Voor Nederlandse organisaties is vooral de toegangsconstructie relevant: gevoelige overheidsdata kunnen via een externe partij worden benaderd. De Deense zaak bewijst niet dat dezelfde fout in Nederland is gemaakt, maar maakt wel zichtbaar waarom controle op derde partijen onderdeel van digitale veiligheid moet zijn.
Eén verhaal, meerdere perspectieven
Wat vaststaat
- Onbevoegden gebruikten legale toegang van een private onderneming tot het CPR-register.
- Ongeveer 8,8 miljoen geregistreerde personen waren betrokken.
- Media melden dat drie profielen 123456 gebruikten, maar de inbraakroute is niet vastgesteld.
- De Deense autoriteiten onderzoeken de zaak.
Links
Argumenten Een groot overheidsregister moet volgens deze invalshoek zo min mogelijk via private partijen toegankelijk zijn. Als toegang toch nodig is, moeten de staat en bedrijven samen verantwoordelijkheid dragen voor sterke beveiliging en actieve controle.
Waarden Privacy, publieke controle en bescherming tegen machtsongelijkheid.
Gevolgen Strengere beperkingen kunnen het risico verkleinen, maar kunnen legitieme dienstverlening en gegevensuitwisseling vertragen.
Midden
Argumenten De institutionele oplossing is risicogestuurde toegang: sterke authenticatie, minimale gegevensverstrekking, uitgebreide logging en onafhankelijke audits van leveranciers. Het wachtwoordincident moet worden onderzocht zonder vooruit te lopen op schuld.
Waarden Proportionaliteit, controleerbaarheid en rechtszekerheid.
Gevolgen Meer toezicht en technische eisen kosten geld, maar kunnen grootschalige incidenten eerder signaleren en beperken.
Rechts
Argumenten Vanuit deze invalshoek ligt de eerste verantwoordelijkheid bij de private leverancier die toegang tot staatsdata kreeg. Bedrijven die zulke systemen beheren moeten aantoonbaar aan hoge beveiligingsnormen voldoen en bij nalatigheid snel aansprakelijk kunnen worden gesteld.
Waarden Eigen verantwoordelijkheid, marktdiscipline en consequenties voor falende beveiliging.
Gevolgen Aansprakelijkheid kan beveiligingsinvesteringen versnellen, maar te zware risico’s kunnen kleine leveranciers uit publieke dienstverlening verdrijven.
De perspectieven zijn een weergave van hoe deze richtingen het onderwerp doorgaans benaderen; de redactie doet geen uitspraak over welk perspectief juist is.
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De omvang en route via legale bedrijfs toegang zijn door de Deense overheid bevestigd. De informatie over het wachtwoord is als mediabericht weergegeven en de onzekerheid over de daadwerkelijke inbraakroute blijft expliciet.
- bevestigd Onbevoegden kregen via een private onderneming toegang tot gegevens uit het Deense CPR-register. — De Deense CPR-administratie beschrijft dit in haar verklaring. bron
- bevestigd Ongeveer 8,8 miljoen geregistreerde personen waren betrokken. — De Deense autoriteiten noemen dit aantal. bron
- bevestigd Minstens drie profielen bij Pays gebruikten het wachtwoord 123456, waaronder een beheerdersaccount. — Ritzau en Golem melden dit als uitkomst van mediaberichtgeving. bron
- bevestigd Het is niet vastgesteld dat 123456 de daadwerkelijke ingang tot het register was. — Golem vermeldt expliciet dat de technische koppeling niet is bevestigd. bron
- bevestigd De toegang duurde volgens berichtgeving 21 dagen en zeventien uur. — Deze duur wordt door Golem en Ritzau genoemd. bron
- bevestigd De CPR-administratie merkte op 2 oktober afwijkend gedrag op en stopte de bedrijfs toegang. — De officiële Deense verklaring noemt 2 oktober en het stopzetten van de toegang. bron
Noot van de redactie
De Deense overheid bevestigt het datalek en de omvang, terwijl Golem en Ritzau de zwakke wachtwoorden melden. De koppeling tussen ‘123456’ en de daadwerkelijke inbraakroute is nadrukkelijk niet bewezen.Bronnen
- Omfattende uautoriseret adgang til borgeres CPR-oplysninger — Forsknings-, Uddannelses- og Digitaliseringsministeriet
- Angriff auf dänisches Melderegister: Zugangspasswort war offenbar 123456 — Golem.de
- Medie: Tre profiler hos virksomhed i datalæksag brugte koden 123456 — DK Nyt / Ritzau
Meer hierover bij andere media
- RTL Nieuws — „cybersecurity datalek”
- FD — „cybersecurity datalek”
- Trouw — „cybersecurity datalek”