Een knullig wachtwoord legt de gegevens van 8,8 miljoen Denen op straat.
Kopenhagen, zondag, 18 oktober 2026. Een hacker heeft de gegevens van 8,8 miljoen Denen gestolen via een account dat was beveiligd met ‘123456’. Met behulp van kunstmatige intelligentie haalde de indringer in een paar dagen tijd het complete bevolkingsregister leeg.
Een digitale ramp in Denemarken
In Denemarken vond in september 2026 de grootste cyberaanval uit de geschiedenis van het land plaats [1]. Een hacker kreeg via een extern bedrijf, Pays ApS, toegang tot het Deense bevolkingsregister (CPR) [1][5]. De indringer gebruikte mogelijk het schrikbarend zwakke wachtwoord ‘123456’ om binnen te dringen [1][4][5]. Met behulp van kunstmatige intelligentie voerde de aanvaller in slechts tien dagen ongeveer 14 miljoen geautomatiseerde zoekopdrachten uit [4]. Hierdoor kwamen de namen, adressen en persoonsnummers van circa 8,8 miljoen mensen bloot te liggen [1][4][5]. Ook voor Nederlandse lezers is dit een dringende waarschuwing: in de week van 12 tot 17 oktober 2026 zag ook Nederland een stijging in het aantal cyberaanvallen [1]. Onze eigen overheid koppelt immers eveneens steeds meer burgergegevens aan externe IT-leveranciers [GPT].
Slimme AI versnelt het gevaar
Het Deense Ministerie van Digitale Zaken noemt de inbraak een extreem ernstig incident [5]. AI veroorzaakt het probleem niet direct, maar verergert de gevolgen wel enorm doordat data nu op grote schaal kan worden gestolen [1]. Deens data-expert Thomas Ploug benadrukt dat het echte probleem ligt bij de enorme hoeveelheid data die zonder veel toezicht wordt verzameld [1]. Bedrijven en onderzoekers krijgen in Denemarken erg makkelijk toegang tot gevoelige registers [1]. Het instellen van een limiet op het aantal zoekopdrachten per dag helpt volgens Ploug nauwelijks [1]. De hacker krijgt de data dan alsnog te pakken, het duurt alleen iets langer [1].
Geen snelle oplossing voor burgers
Pas op 2 oktober 2026 ontdekte men de buitengewoon hoge database-activiteit, waarna het gecompromitteerde account direct werd geblokkeerd [3][5]. Tot op heden, halverwege oktober 2026, is er nog geen verdachte aangehouden of geïdentificeerd [5]. De Deense privacywaakhond Datatilsynet onderzoekt de zaak momenteel onder de GDPR-wetgeving [5]. De Deense autoriteiten kunnen gedupeerde burgers geen nieuw persoonsnummer geven [5]. Inwoners moeten hun bankrekeningen nu zelf nauwlettend in de gaten houden voor mogelijke identiteitsfraude [5]. Het incident bewijst hoe kwetsbaar een hele samenleving wordt wanneer één externe partner zijn digitale voordeur niet op slot doet [1].