Cijelo stanovništvo je bilo izloženo: Hakiran je središnji registar stanovništva Danske.
Bruxelles širi Digitalni ID kao ključ za državne institucije, poduzeća i sve veći broj privatnih usluga. Danska sada donosi odgovarajuće upozorenje: putem API sučelja jednog jedinog privatnog poduzeća neovlaštene osobe mogle su preuzeti podatke iz Središnjeg registra stanovništva, u kojem je registrirana svaka osoba prijavljena u Danskoj. Ukradeni su podaci o 8,8 milijuna ljudi; pogođeni su bili podaci poput imena, adresa i osobnih CPR brojeva. To pokazuje: lijepi novi svijet digitalnog identiteta postaje sigurnosni rizik za milijune ljudi.
Dok se građanima s političke strane Digitalni ID želi predstaviti kao sredstvo za pojednostavljenje života, ne postoje samo zabrinutosti u pogledu potpune državne kontrole nad životom pojedinca. Postavljaju se i pitanja u vezi sa sigurnošću podataka. Naime, sve veća digitalizacija i centralizacija sa sobom donose i sigurnosne probleme. Jedan od njih odnosi se i na API sučelja državnih baza podataka, koja omogućuju automatizirano pretraživanje izvana. Takav slučaj sada potresa Dansku.
🇩🇰 After the register breach, Denmark says firms should not confirm identity with a CPR number alone, the Copenhagen Post reports. MitID or a code is urged. Numbers are not being cancelled. https://t.co/ExxLsrvfl5 #Denmark #Data #Nordics
— The Nordic Post (@THENORDICPOST) October 7, 2026
Automatizirani API upit bio je dovoljan
Tako su nepoznati počinitelji putem legitimnog pristupa jednog privatnog poduzeća pokrenuli softver koji je masovno provodio automatizirane upite prema Središnjem registru stanovništva (CPR). Pristup koji je zapravo bio namijenjen tome da poduzeću na zahtjev stavlja na raspolaganje određene podatke, kriminalcima je praktički poslužio kao slobodan pristup informacijama o cjelokupnom danskom stanovništvu, jer je svaka osoba prijavljena u Danskoj evidentirana u tom registru. Danska ima oko 6 milijuna stanovnika. Hakeri su prije nego što je kompromitacija uočena i pristup blokiran, ukrali 8,8 milijuna od ukupno 11 milijuna CPR brojeva, zajedno s pripadajućim osobnim podacima. Baza podataka sadržava i podatke već preminulih građana te Danaca koji žive u inozemstvu, zbog čega je broj odgovarajuće visok.
Te CPR brojeve Danci trebaju prilikom obavljanja poslova s državnim institucijama, u bankama i pri korištenju brojnih drugih usluga. A sada se nalaze u rukama kriminalaca koji ih mogu koristiti za svakojake nepodopštine. Danska uprava za društvenu sigurnost u međuvremenu upozorava državne institucije, poduzeća i organizacije da se pri identifikaciji osoba i dalje ne oslanjaju isključivo na ime, adresu i CPR broj. Kod osjetljivih postupaka ili mogućih financijskih posljedica trebale bi se provoditi dodatne kontrole.
Koliko će tek biti ozbiljno s Digitalnim ID-om?
Istodobno, ovaj slučaj pokazuje da je cijela bruxelleska strategija digitalizacije – zajedno s Digitalnim ID-om – povezana s golemim sigurnosnim rizicima. Sve više podataka treba međusobno povezivati, sve više usluga digitalno integrirati, a sve više provjera identiteta automatizirati. Za to su, međutim, potrebni i odgovarajući API pristupi za državne institucije i poduzeća. Može se zamisliti koliki je tamo potencijal za zlouporabu. Već su sada poznati deseci slučajeva u kojima su AI agenti samoinicijativno ostvarili pristup različitim poslužiteljima i sustavima. Što tek vješti hakeri mogu učiniti s takvim alatima?
Ako se uz to uzme u obzir koliko se u Bruxellesu amaterski pristupa programiranju aplikacija – aplikacija za provjeru dobi Ursule von der Leyen hakirana je u roku od dvije minute – postavlja se pitanje jesu li osobni podaci građana uopće sigurni kod eurokrata. A da se i ne govori o potencijalu političke zlouporabe protiv disidenata i novinara. Sada aktualni slučaj iz Danske pokazuje da čak nisu potrebni ni nesposobni programeri kako bi kriminalci usputno preuzeli više milijuna osobnih podataka. Dovoljan je jedan API pristup.
Što se više državnih i privatnih sustava međusobno povezuje, to je veći i potencijal za štetu koju može prouzročiti jedan jedini kompromitirani pristup. Danska sada pruža novu demonstraciju toga. Svaka dodatna veza, svako novo API sučelje stvara i novu točku napada. Kriminalne mreže vjerojatno se već pripremaju za to.
