1. De hacker kreeg toegang tot het Centraal Persoonsregister (CPR) van Denemarken via een zwak administratorwachtwoord dat gebruikt werd bij Pays, een IT-bedrijf op Funen. Dit bedrijf had toestemming om het CPR-register te doorzoeken.
2. Minimaal drie accounts bij Pays gebruikten het wachtwoord "123456", waaronder een administratoraccount. Dit wachtwoord staat bekend als een van de meest voorkomende bij aanvallen op externe desktopverbindingen (RDP).
3. De aanvaller gebruikte de verkregen toegang om persoonsgegevens te verzamelen, in plaats van rechtstreeks in de systemen van het register in te breken. De hacker zou twee programma's hebben ontwikkeld om CPR-informatie op te halen en op te slaan buiten het systeem.
4. De toegang begon naar verluidt op 10 september en duurde 21 dagen en 17 uur.
5. Het CPR-register bevat persoonsgegevens over personen die in Denemarken wonen of er eerder stonden geregistreerd. Particuliere bedrijven en verenigingen kunnen toegang krijgen wanneer zij een legitiem belang hebben, zoals het controleren van adressen.
6. De hacker deelde gestolen gegevens, waaronder CPR-nummers en adressen, met de krant Politiken. In totaal werden 8.749.975 records gemeld, wat neerkomt op ongeveer 8,8 miljoen burgerservicenummers.
7. De blootgestelde gegevens betroffen ongeveer 5,5 miljoen levende personen en 3,3 miljoen overleden personen.
8. Pays ApS bevestigde dat hun wettelijke toegang tot het CPR-systeem was misbruikt. De Copenhagen Post meldde dat de aanvaller toegang kreeg via een gelekt wachtwoord van een voormalige werknemer van een klein Deens bedrijf.
9. De hacker verklaarde aan Politiken dat er geen plannen waren om de gestolen informatie te verkopen of te publiceren.
10. Tot nu toe is niet vastgesteld dat de blootgestelde informatie al voor fraude is gebruikt.
11. Een vergelijkbaar incident deed zich voor bij Veradigm, waar gestolen inloggegevens van een leverancier een aanvaller toegang gaven tot patiëntinformatie via een goedgekeurde interface.