Data Breach Registrasi Penduduk Denmark Berdampak pada 8,8 Juta Orang

Denmark mengungkap data breach berskala besar pada Central Population Register (CPR) yang menyebabkan informasi pribadi sekitar 8,8 juta individu terekspos setelah attacker menyalahgunakan akses resmi milik sebuah perusahaan swasta Denmark.

Data yang terdampak mencakup nama, alamat, CPR number, dan informasi lain yang tersimpan dalam national civil registry tersebut. Korban tidak hanya mencakup penduduk yang saat ini tinggal di Denmark, tetapi juga individu yang telah pindah ke luar negeri dan orang yang telah meninggal dunia.

Insiden terjadi pada September 2026, tetapi administrasi CPR baru mengetahui unauthorized access pada 2 Oktober. Investigasi selama akhir pekan kemudian mengungkap skala breach yang mencapai sekitar 80% dari 11 juta individu yang tercatat dalam sistem.

Akses perusahaan yang disalahgunakan telah diblokir, sementara kepolisian Denmark membuka investigasi untuk mengetahui secara lengkap bagaimana serangan dilakukan.

Central Population Register Menyimpan Data Jutaan Orang

Central Population Register atau CPR merupakan national civil registry Denmark yang menyimpan informasi dasar mengenai penduduk dan individu yang pernah terdaftar di negara tersebut.

Database tersebut berisi berbagai informasi pribadi seperti nama, alamat, tanggal lahir, status perkawinan, dan CPR identification number yang bersifat unik.

CPR number digunakan secara luas dalam administrasi Denmark untuk mengidentifikasi individu dalam berbagai layanan publik dan private sector.

Karena cakupan dan sensitivitas data tersebut, unauthorized access terhadap CPR dapat memberikan attacker kumpulan informasi yang sangat berguna untuk social engineering, phishing, impersonation, dan berbagai bentuk identity fraud.

Sekitar 8,8 Juta Individu Terdampak

Sistem CPR saat ini menyimpan informasi sekitar 11 juta individu yang terdaftar.

Menurut informasi awal pemerintah Denmark, sekitar 8,8 juta di antaranya terdampak oleh insiden terbaru.

Artinya, breach tersebut mencakup sekitar 80% dari seluruh record dalam registry.

Jumlah tersebut jauh lebih besar daripada populasi Denmark saat ini karena CPR juga menyimpan informasi orang yang sebelumnya tinggal di negara tersebut, individu yang telah pindah ke luar negeri, dan orang yang telah meninggal.

Meski demikian, tidak seluruh record dalam database berhasil diakses.

Otoritas masih melakukan investigasi untuk menentukan scope akhir dan detail informasi yang diperoleh attacker.

Attacker Menyalahgunakan Akses Resmi Perusahaan Swasta

Serangan tidak digambarkan sebagai direct compromise terhadap seluruh infrastructure CPR.

Menurut pengumuman pemerintah Denmark, threat actor menyalahgunakan legitimate access milik sebuah perusahaan swasta Denmark yang memiliki izin untuk mengakses registry.

Melalui akses tersebut, attacker dapat memperoleh nama, alamat, CPR number, dan informasi lainnya yang berkaitan dengan individu yang terdaftar.

Belum dijelaskan secara publik bagaimana pihak tidak berwenang berhasil mendapatkan atau menyalahgunakan akses perusahaan tersebut.

Dengan demikian, belum dapat dipastikan apakah insiden bermula dari compromised credentials, kelemahan pada sistem perusahaan, insider activity, atau teknik lainnya.

Investigasi kepolisian masih berlangsung.

Brute-Force Digunakan untuk Menemukan CPR Number yang Valid

Danish Data Protection Agency memberikan detail tambahan mengenai metode yang digunakan attacker.

Menurut regulator, serangan melibatkan suatu bentuk brute-forcing untuk melakukan enumeration terhadap CPR number yang valid.

Setelah menemukan identifier yang valid, attacker kemudian dapat mengambil data yang terkait dengan entry tersebut.

Teknik enumeration seperti ini memungkinkan attacker melakukan query secara sistematis terhadap sebuah layanan untuk menentukan identifier mana yang menghasilkan response valid.

Apabila sistem tidak memiliki rate limiting, anomaly detection, query restriction, atau control lain yang memadai, attacker dapat melakukan proses tersebut dalam skala besar.

Dalam kasus ini, aktivitas tersebut akhirnya menghasilkan akses terhadap informasi sekitar 8,8 juta individu.

Insiden Terjadi pada September 2026

Unauthorized activity terjadi pada September 2026.

Namun, administrasi CPR baru mengetahui adanya security incident pada 2 Oktober 2026.

Setelah breach ditemukan, otoritas melakukan investigasi sepanjang akhir pekan untuk menentukan jumlah record yang terdampak.

Hasil analisis awal menunjukkan skala insiden jauh lebih besar daripada breach yang hanya melibatkan kelompok kecil pengguna.

Akses perusahaan swasta yang digunakan dalam serangan kemudian diblokir untuk mencegah unauthorized query tambahan.

Kepolisian Denmark juga telah memulai investigasi.

Pemerintah Denmark Sebut Insiden Sangat Serius

Menteri Riset, Pendidikan, dan Digitalisasi Denmark Christina Egelund menyebut kejadian tersebut sebagai insiden yang sangat serius.

Pemerintah juga telah memberikan informasi mengenai kasus tersebut kepada Business and Digitalization Committee di parlemen Denmark.

Otoritas terkait kini bekerja untuk menentukan full extent dari insiden.

Selain mencari tahu bagaimana akses perusahaan dapat disalahgunakan, investigator perlu menentukan data apa saja yang diperoleh, berapa banyak query yang dilakukan, dan apakah informasi tersebut telah digunakan untuk aktivitas berbahaya lainnya.

Pemerintah Denmark mengatakan langkah keamanan tambahan telah diterapkan untuk mencegah insiden serupa.

Detail teknis mengenai security control baru tersebut belum dipublikasikan.

CPR Number Meningkatkan Risiko Social Engineering

Salah satu aspek penting dari breach adalah tereksposnya CPR number.

Ketika identifier tersebut dikombinasikan dengan nama dan alamat, attacker memiliki informasi yang cukup lengkap untuk membuat komunikasi palsu terlihat jauh lebih meyakinkan.

Misalnya, phishing email atau panggilan telepon dapat menyebutkan nama lengkap, alamat, dan CPR number korban sebagai cara membangun kepercayaan.

Korban dapat menganggap komunikasi tersebut berasal dari bank, pemerintah, perusahaan asuransi, atau institusi resmi karena caller memiliki data pribadi yang seharusnya tidak diketahui pihak asing.

Pemerintah Denmark karena itu meminta masyarakat meningkatkan kewaspadaan terhadap unsolicited communication.

Mengetahui Data Pribadi Bukan Bukti Komunikasi Resmi

Otoritas secara khusus memperingatkan masyarakat agar tidak menganggap sebuah panggilan, email, atau pesan dapat dipercaya hanya karena pengirim mengetahui informasi pribadi mereka.

Setelah data breach berskala besar, informasi seperti nama, alamat, dan identification number dapat berada di tangan attacker.

Karena itu, pengetahuan terhadap data tersebut tidak lagi dapat digunakan sebagai bukti bahwa seseorang benar-benar mewakili institusi resmi.

Pemerintah Denmark mengingatkan masyarakat agar tidak memberikan password maupun confidential information sebagai respons terhadap panggilan telepon, email, atau komunikasi serupa.

Peringatan tersebut tetap berlaku meskipun pihak yang menghubungi mengetahui nama, alamat, dan CPR number penerima.

Cyber Hotline Dibuka untuk Individu Terdampak

Pemerintah Denmark telah membuka dedicated cyber hotline untuk membantu individu yang berpotensi terdampak.

Layanan tersebut memberikan bantuan dan panduan mengenai langkah yang dapat dilakukan setelah breach.

Masyarakat juga dapat memperoleh panduan cybersecurity melalui portal keamanan digital resmi Denmark.

Fokus utama saat ini adalah membantu masyarakat mengenali social engineering dan komunikasi mencurigakan yang mungkin memanfaatkan informasi dari breach.

Karena data pribadi yang terekspos tidak dapat diganti semudah password, risiko penyalahgunaannya dapat berlangsung dalam jangka panjang.

Belum Diketahui Bagaimana Perusahaan Swasta Dikompromikan

Salah satu pertanyaan terbesar yang belum terjawab adalah bagaimana attacker mendapatkan kemampuan menggunakan legitimate access milik perusahaan swasta tersebut.

Pemerintah belum mengungkap identitas perusahaan maupun detail mengenai authentication mechanism yang digunakan untuk mengakses CPR.

Belum diketahui apakah attacker mencuri credential, mengambil alih account, mengeksploitasi vulnerability, mendapatkan session token, atau menggunakan metode lainnya.

Informasi tersebut penting untuk memahami apakah security failure berada pada sisi perusahaan, mekanisme akses CPR, atau kombinasi keduanya.

Selain itu, belum diketahui berapa lama attacker memiliki kemampuan melakukan query sebelum aktivitas tersebut ditemukan.

Rate Limiting dan Monitoring Menjadi Perhatian

Informasi bahwa attacker dapat melakukan brute-force terhadap CPR number dalam skala jutaan record juga menimbulkan pertanyaan mengenai mekanisme monitoring dan pembatasan query.

Sistem yang menyediakan akses ke sensitive database umumnya membutuhkan control yang dapat mendeteksi volume request tidak normal.

Rate limiting, behavioral analytics, query quota, strong authentication, least-privilege access, dan automated anomaly detection dapat digunakan untuk mengurangi risiko bulk enumeration.

Namun, belum ada technical report lengkap mengenai control yang tersedia atau bagaimana attacker dapat melewatinya dalam insiden CPR.

Karena itu, belum dapat disimpulkan control tertentu gagal atau tidak diterapkan.

Pemerintah hanya menyatakan bahwa additional security measures telah diterapkan setelah insiden ditemukan.

Salah Satu Data Breach Terbesar yang Dilaporkan di Denmark

Dengan sekitar 8,8 juta individu terdampak, insiden Central Population Register memiliki skala yang sangat besar dibandingkan jumlah penduduk Denmark saat ini.

Dampaknya meluas karena registry tidak hanya mencakup current resident, tetapi juga mantan penduduk dan individu yang telah meninggal dunia.

Otoritas kini menghadapi dua tantangan utama: menentukan bagaimana legitimate corporate access dapat disalahgunakan serta mengurangi kemungkinan data tersebut digunakan untuk fraud dan social engineering.

Kepolisian masih melakukan investigasi, sementara Danish Data Protection Agency dan pemerintah terus menganalisis dampak insiden.

Untuk individu yang datanya berpotensi terekspos, ancaman paling langsung adalah komunikasi palsu yang menggunakan informasi valid untuk meningkatkan kredibilitas.

Karena itu, masyarakat diingatkan untuk tidak memberikan password atau confidential information melalui komunikasi yang tidak diminta, sekalipun pihak yang menghubungi dapat menyebutkan informasi pribadi secara akurat.

Sumber: Central Population Register Denmark