Duński rejestr CPR wyciekł przez konto dwuosobowej firmy. Co sprawdzić u siebie według ustawy o KSC?

Dane 8,8 mln osób wyciekły z duńskiego rejestru przez legalny dostęp małej firmy i hasło „123456”. Co mówi na ten temat art. 8 ustawy o KSC?

Autor: Paweł Rosół
Data: 16.10.2026
Czytanie: 8 min
Kategoria: Zarządzanie ryzykiem

Stan prawny sprawdzony: 15.10.2026

Spis treści

Co wiadomo o wycieku z rejestru CPR?
Po której stronie takiego połączenia jest Twoja organizacja?
Dlaczego konto byłego pracownika wciąż działało?
Czy hasło „123456” narusza ustawę o KSC?
Dlaczego nikt nie zauważył 14 mln zapytań?
Czego duński urząd wymaga teraz od firm z dostępem?
Czy wyciek cudzych danych dotyczy Twojego helpdesku?
Od czego zacząć?

We wrześniu 2026 r. ktoś pobrał z duńskiego Centralnego Rejestru Osób (CPR) imiona, nazwiska, adresy i numery CPR około 8,8 mln osób. Nie włamał się do samego rejestru, tylko użył legalnego dostępu jednej z ponad tysiąca firm, które mogą w nim wyszukiwać dane. Według dziennika Politiken drogę otworzyło wcześniej wyciekłe hasło byłego pracownika tej firmy: „123456”. Urząd zauważył wyciek dopiero przy wystawianiu faktury, 12 dni po tym, jak napastnik przestał korzystać z dostępu.

Dla podmiotu kluczowegoPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. lub ważnego w Polsce ta historia dotyka naraz czterech obowiązków z art. 8 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.): kontroli dostępu, bezpieczeństwa zasobów ludzkich, monitorowania i łańcucha dostawŁańcuch dostaw Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem.. Samo zdarzenie opisałem w aktualnościach, tu zajmuję się tym, co z niego wynika dla Twojego systemu zarządzania bezpieczeństwem informacjiSystem zarządzania bezpieczeństwem informacji Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów. (SZBI).

Co wiadomo o wycieku z rejestru CPR?

Według duńskiego ministerstwa cyfryzacji w rejestrze CPR jest około 11 mln osób: obecni mieszkańcy, osoby, które wyjechały za granicę, i zmarli. Prywatne firmy z uzasadnionym interesem mogą na podstawie duńskiej ustawy o CPR pobierać z niego dane osób, które wcześniej zidentyfikowały pojedynczo, na przykład żeby zaktualizować adresy klientów. Za każde zapytanie płacą. Według TV 2 dostęp, przez który wyciekły dane, należał do Pays ApS z Odense. To firma z dwoma pracownikami, która oferowała między innymi aktualizację adresów i sprawdzanie zgonów w bazach klientów.

Z dokumentów, które TV 2 uzyskała od urzędu, wynika, że dostęp był w obcych rękach od 10 września, łącznie przez 21 dni i 17 godzin. Przez konto firmy wykonano około 14 mln zapytań, a duński organ ochrony danych Datatilsynet pisze o bardzo dużej liczbie zautomatyzowanych zapytań, których celem było ustalenie poprawnych numerów CPR. W zgłoszeniu do Datatilsynet urząd CPR zauważył, że liczba zapytań znacznie przekracza bazę klientów firmy, a firma oświadczyła, że tych zapytań nie wykonywała. Działania ustały około 20 września, a dostęp zamknięto 2 października, gdy przy fakturowaniu pojawiła się bardzo wysoka kwota.

Politiken rozmawiał z anonimową osobą, która podaje się za sprawcę. Według niej wystarczyło hasło byłego pracownika, które wcześniej wyciekło. Gazeta ustaliła, że co najmniej trzy konta w Pays, w tym konto administratora, miały hasło „123456”. Relacji sprawcy nikt niezależnie nie potwierdził, a żadne ze źródeł nie mówi, czy konto chronił drugi składnik logowania.

Po której stronie takiego połączenia jest Twoja organizacja?

W tej historii są dwie strony. Urząd CPR udostępnia dane firmom zewnętrznym przez konta w swoim systemie. Pays ma konto w cudzym systemie i odpowiada za to, kto go używa. Twoja organizacja jest zwykle po obu stronach naraz.

Jeśli dajesz dostęp do swoich systemów komuś z zewnątrz (integratorowi, biuru rachunkowemu, partnerowi przez portal albo interfejs API), te konta należą do Twojego systemu informacyjnego. Polityki kontroli dostępu z art. 8 ust. 1 pkt 2 lit. n ustawy o KSC obejmują je tak samo jak konta pracowników, a monitorowanie w trybie ciągłym z lit. g obejmuje to, co przez nie się dzieje. Dochodzi łańcuch dostaw z lit. e: firma z dostępem do Twoich danych jest dostawcą usługi, od której zależysz, nawet jeśli płaci Tobie, a nie Ty jej.

Konto partnera w Twoim systemie podlega Twoim zasadom kontroli dostępu, nawet jeśli hasło ustawia ktoś inny.

Jeśli to Ty masz konta w cudzych systemach (bankowości, portalu dostawcy, rejestrze publicznym), napastnik nie musi atakować operatora tego systemu. Wystarczy mu Twoje najsłabsze konto, jak w Danii. Dla podmiotu publicznegoPodmiot publiczny Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy. ustawa mówi o tym wprost. Art. 8 ust. 4 ustawy o KSC brzmi:

„Podmiot publiczny uwzględnia w systemie zarządzania bezpieczeństwem informacji system informacyjny dostarczany przez inny podmiot publiczny, w tym na podstawie przepisów ustawy, w szczególności system informacyjny zapewniający działanie rejestru publicznego w zakresie odpowiadającym zakresowi kompetencji tego podmiotu, wynikającym z polityki bezpieczeństwa danego systemu informacyjnego lub przepisów prawa regulujących sposób działania tego systemu.”

Przepis nie przenosi na urząd gminy bezpieczeństwa całego rejestru, który prowadzi ktoś inny, bo zakres wyznaczają kompetencje urzędu. W praktyce chodzi o to, kto w urzędzie ma do rejestru konto, jak się loguje i kiedy traci dostęp.

Dlaczego konto byłego pracownika wciąż działało?

Źródła tego nie wyjaśniają. Wiadomo tylko, że według Politiken hasło należało do osoby, która już w firmie nie pracowała. Ustawa o KSC wymienia wśród środków z art. 8 ust. 1 pkt 2 bezpieczeństwo zasobów ludzkich (lit. d) i polityki kontroli dostępu (lit. n), ale dla większości podmiotów nie podaje terminu, w jakim trzeba odebrać uprawnienia. Wyjątkiem jest podmiot ważnyPodmiot ważny Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy. będący podmiotem publicznym. Załącznik nr 4 do ustawy o KSC wymaga od niego w części I pkt 6:

„bezzwłoczne cofanie przyznanych uprawnień w przypadku stwierdzenia braku podstawy dostępu do informacji na stałe lub zawieszanie uprawnień w przypadku niewykonywania obowiązków co najmniej przez jeden miesiąc”

Ministerstwo Cyfryzacji w odpowiedziach do ustawy (pkt 3.2) wymienia przegląd uprawnień personelu i cofnięcie uprawnień osobom, które nie wykonują już danych zadań, wśród kroków dostosowania do ustawy.

Lista rzeczy do zrobienia po odejściu pracownika rzadko obejmuje konta w systemach, których firma nie prowadzi.

Taka lista zwykle zamyka konto w domenie i skrzynkę pocztową. Konta w portalu banku, w rejestrze, w panelu dostawcy i konta wspólne z jednym hasłem dla całego działu zostają, bo nikt ich nie spisał. Zacząłbym więc od rejestru kont zewnętrznych: system, właściciel konta po Twojej stronie, kto zna hasło, czy logowanie wymaga drugiego składnika, data ostatniego przeglądu. Przy odejściu pracownika przechodzi się wtedy przez ten rejestr, a nie przez pamięć działu IT.

Czy hasło „123456” narusza ustawę o KSC?

Ustawa nie mówi nic o długości ani złożoności haseł. Wymaga podstawowych zasad cyberhigieny (art. 8 ust. 1 pkt 2 lit. j) i wymienia uwierzytelnianie wieloskładnikoweUwierzytelnianie wieloskładnikowe Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa. przy bezpiecznych środkach komunikacji elektronicznej, „w stosownych przypadkach” (lit. l). Ministerstwo Cyfryzacji zachęca do stosowania go tam, gdzie jest to możliwe (pkt 14.11 odpowiedzi do ustawy).

Co jest stosownym przypadkiem, rozstrzyga szacowanie ryzykaSzacowanie ryzyka Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”. z art. 8 ust. 1 pkt 1. Moim zdaniem konto, przez które da się pobrać dane milionów osób, i konto administratora, który zarządza pozostałymi kontami, są takimi przypadkami bez względu na wynik szacowania dla reszty systemu. Jeśli system dostawcy nie pozwala włączyć drugiego składnika, zapisz to w szacowaniu ryzyka jako ryzyko, które ktoś w zarządzie świadomie przyjmuje, i ogranicz to, co da się z tego konta zrobić.

Dlaczego nikt nie zauważył 14 mln zapytań?

Bo nikt ich nie liczył na bieżąco. Profesor Jens Myrup Pedersen z Uniwersytetu w Aarhus powiedział TV 2, że zabrakło jakichkolwiek mechanizmów, które wychwyciłyby taką aktywność, a sygnałem okazała się faktura. Art. 8 ust. 1 pkt 2 lit. g ustawy o KSC wymaga objęcia systemu informacyjnego monitorowaniem w trybie ciągłym. Monitorowanie nie musi zaczynać się od centrum operacji bezpieczeństwa.

Najprostszy wskaźnik nadużycia konta to liczba: ile zapytań, eksportów albo pobrań robi ono w miesiącu.

Urząd CPR wysłał 9 października pismo do 1039 firm z dostępem do rejestru. Według notatki, którą minister wysłała dwóm komisjom parlamentu, a opisała agencja Ritzau, firmy mają między innymi śledzić miesięczną liczbę zapytań do CPR, żeby wychwycić nadużycie. Ten sam wskaźnik możesz ustawić u siebie dla kont partnerów i kont technicznych: próg, powyżej którego ktoś dostaje powiadomienie. Warto też, żeby osoba, która widzi fakturę za usługę rozliczaną od wykorzystania, wiedziała, że nagły skok kwoty może być incydentem, i miała kogo zawiadomić. Tak zaczyna się zarządzanie incydentami z art. 8 ust. 1 pkt 4.

Czego duński urząd wymaga teraz od firm z dostępem?

W piśmie do 1039 firm urząd CPR przypomina, że każda z nich musi mieć osobę odpowiedzialną za bezpieczeństwo i na bieżąco kontrolować dostępy pracowników do danych z rejestru. Wśród adresatów są według notatki firmy z sektora finansowego, operatorzy telekomunikacyjni, kancelarie prawne, związki zawodowe i ubezpieczyciele.

Ustawa o KSC nie wymaga powołania osoby o określonej nazwie. Odpowiedzialność za obowiązki z art. 8 ponosi kierownik podmiotu (art. 8c ust. 1), także wtedy, gdy powierzył je komuś innemu (art. 8c ust. 3). Kierownik przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie (art. 8d pkt 3). Ktoś jednak musi te zadania wykonywać: prowadzić rejestr kont, pilnować przeglądów uprawnień, ustalić progi monitorowania i raportować zarządowi, co z tego wychodzi. To jest praca, którą wykonuję jako pełnomocnik ds. cyberbezpieczeństwa, a jej zakres opisałem na stronie Usługi. O tym, czego wymagać od firm, które mają dostęp do Twoich danych, pisałem w tekście o łańcuchu dostaw.

Czy wyciek cudzych danych dotyczy Twojego helpdesku?

Tak, jeśli Twój helpdesk sprawdza tożsamość na podstawie danych, które wyciekły. Duńska agencja Styrelsen for Samfundssikkerhed wezwała firmy i urzędy, by nie traktowały samego numeru CPR jako dowodu tożsamości. Konfederacja Duńskiego Przemysłu (Dansk Industri) zwraca uwagę, że numery pracowników firm najpewniej też są w wycieku, a helpdesk, który resetuje hasło albo drugi składnik logowania, bo dzwoniący podał imię i numer CPR, otwiera napastnikowi drzwi do konta pracownika.

W Polsce podobną rolę pełni numer PESEL. Jeśli u Ciebie do zresetowania hasła wystarczy przedstawić się i podać numer PESEL, zmień procedurę: oddzwoń na numer zapisany w kartotece albo potwierdź prośbę u przełożonego. Dansk Industri radzi zakładać, że oszust zna imię, nazwisko, adres i numer osoby, za którą się podaje.

Od czego zacząć?

Spisz konta, które Twoja organizacja ma w cudzych systemach, i konta, które dała podmiotom zewnętrznym w swoich.
Przy każdym zapisz właściciela po Twojej stronie, sposób logowania i datę ostatniego przeglądu.
Zamknij konta osób, które odeszły, i konta, których nikt nie potrafi przypisać do osoby.
Włącz drugi składnik logowania na kontach z dostępem do dużych zbiorów danych i na kontach administratorów, a tam, gdzie się nie da, zapisz to w szacowaniu ryzyka.
Ustal dla kont partnerów i kont technicznych miesięczny próg zapytań lub pobrań i wskaż osobę, która dostaje powiadomienie, gdy konto go przekroczy.

Pojęcia w tym tekście (12)

Podmiot kluczowy: Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.
Ustawa o KSC: Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.
Łańcuch dostaw: Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem.
System zarządzania bezpieczeństwem informacji: Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.
Podmiot publiczny: Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy.
Podmiot ważny: Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy.
Uwierzytelnianie wieloskładnikowe: Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa.
Szacowanie ryzyka: Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”.
Centrum operacji bezpieczeństwa: Zespół lub usługa, która całą dobę monitoruje systemy firmy, wykrywa podejrzane zdarzenia i uruchamia reakcję na incydent.
Incydent: Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
Kierownik podmiotu: Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.
Pełnomocnik ds. cyberbezpieczeństwa: Osoba, której kierownik podmiotu powierza zadania z zakresu cyberbezpieczeństwa. To nazwa praktyki: ustawa o KSC nie tworzy takiej funkcji ani nie określa jej zadań.

Najczęściej zadawane pytania

Czy podmiot publiczny musi ująć w SZBI rejestr publiczny prowadzony przez inny urząd?

Tak, w zakresie odpowiadającym jego kompetencjom. Art. 8 ust. 4 ustawy o KSC nakazuje podmiotowi publicznemu uwzględnić w systemie zarządzania bezpieczeństwem informacji system informacyjny dostarczany przez inny podmiot publiczny, w szczególności system zapewniający działanie rejestru publicznego. W praktyce chodzi o konta urzędu w takim systemie, sposób logowania i odbieranie dostępu osobom, które go już nie potrzebują.

W jakim terminie trzeba odebrać uprawnienia byłemu pracownikowi?

Dla podmiotu ważnego będącego podmiotem publicznym załącznik nr 4 do ustawy o KSC (część I pkt 6) wymaga bezzwłocznego cofania uprawnień, gdy podstawa dostępu ustała na stałe. Dla pozostałych podmiotów kluczowych i ważnych ustawa nie podaje terminu, ale art. 8 ust. 1 pkt 2 lit. d i n wymaga bezpieczeństwa zasobów ludzkich i polityk kontroli dostępu, a termin wpisuje się do tych polityk.

Czy ustawa o KSC wymaga uwierzytelniania wieloskładnikowego?

Wymienia je w art. 8 ust. 1 pkt 2 lit. l, przy bezpiecznych środkach komunikacji elektronicznej, z zastrzeżeniem „w stosownych przypadkach”. O tym, gdzie jest stosowne, rozstrzyga szacowanie ryzyka z art. 8 ust. 1 pkt 1. Ministerstwo Cyfryzacji w odpowiedziach do ustawy zachęca do stosowania uwierzytelniania wieloskładnikowego tam, gdzie jest to możliwe.

Źródła

Stan prawny sprawdzony: 15.10.2026. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).