丹麥 880 萬人個資遭「合法爬取」十天，官方直到收到天文數字帳單才驚覺被駭

國家級資訊安全防線最脆弱的缺口，往往不是核心伺服器，而是合法授權的第三方夥伴？丹麥近期便上演了這場防護災難。

丹麥政府證實其中央公民登記系統（CPR）遭外部滲透，約 880 萬名在籍與離境居民、甚至已故者的姓名及身分識別碼全數外洩。攻擊者並未強行攻破資料庫，而是盜用一家合法合作企業的查詢管道連續調取 10 天，官方直到例行帳單稽核時才察覺異常並緊急封鎖。

濫用合規管道爬取十天，合法查詢憑證淪為資安破口

丹麥的中央公民登記系統（Central Person Register，簡稱 CPR）涵蓋所有國民與長期居民的出生日期、住址與等同於身分證字號的 CPR 號碼。這類敏感核心資料庫平時受到高規格防禦，但為了支援商業徵信與公共行政，系統依法對特定私營企業開放了 API 查詢權限。

正是這條合規管道，給了不法分子可乘之機。調查顯示，外部攻擊者並非透過技術漏洞暴力破解主系統，而是暗中控制了一家持有合法授權的丹麥本土小型企業帳號。

取得合法憑證後，攻擊者自 2026 年 9 月下旬展開行動，在未引發即時阻斷警報的情況下，進行長達十天的自動化大量查詢。每一次呼叫都看似正常的企業業務調用，實則是對國家公民隱私資料進行地毯式爬取，累計調取量高達約 880 萬筆紀錄。

值得注意的是，丹麥總人口僅約 600 萬人，外洩數量之所以遠超總人口，主因在於資料庫同時收錄了已遷居海外的外僑、非公民合法居民以及部分已故人士的歷史建檔。

這起波及全國的重大外洩事件，其曝光過程充滿諷刺。管理機構並非在攻擊當下由即時資安監控系統攔截，而是在 10 月 2 日進行例行計費審查時，發現該合作小企業的查詢呼叫費用呈現天文數字暴增，才驚覺系統早已門戶洞開。

事發後，當局立即切斷該涉案企業的連線授權，並正式向丹麥資料保護局（Datatilsynet）通報且由警方立案調查。官方初步指出，若民眾事前有申請姓名與地址隱私保護，資料則未在此次事件中流出。

丹麥研究、教育與數位化部長 Christina Egelund 公開將此事定調為「極其嚴重的國家級資安事件」，並下令全面啟動 CPR 系統與所有外部授權介面的安全防護審查。儘管外洩內容未包含財務帳戶或密碼，但外洩的姓名、地址與 CPR 號碼組合，足以成為社交工程與魚叉式網路釣魚的關鍵素材。

當局已提醒全體公民提高警覺，切勿向任何陌生來電或郵件透露個資，即使對方能準確報出 CPR 號碼亦不可輕信。這起事件也再次迫使歐洲各國重新審視，如何對擁有合法存取授權的第三方供應鏈建立更嚴格的即時速率限制與異常偵測機制。