Danimarka CPR Sızıntısı: 8,8 Milyon Kimlik Kaydı "123456" Parolasıyla Ele Geçti 10-16-2026, 08:13 AM (Son Düzenleme: 10-16-2026, 05:02 PM, Düzenleyen: Tonyukuk.)
Danimarka Merkezi Nüfus Kaydı (CPR) Sızıntısı: Zayıf Parolanın Ulusal Bedeli
Selamlar,
Ekim 2026'nın en çarpıcı veri sızıntılarından biri Danimarka'dan geldi. Ülkenin merkezi nüfus kaydı olan CPR (Central Person Register) üzerindeki yasal sorgu erişimi kötüye kullanılarak yaklaşık 8,8 milyon kişinin kimlik bilgileri ele geçirildi. Daha da çarpıcı olanı erişim yöntemi: Medya raporlarına göre ilgili şirketteki hesaplardan en az üçünün, aralarında bir yönetici hesabı da olmak üzere, parolası "123456" idi.
Konuda Anlatılacaklar
- Olayın özeti ve zaman çizelgesi
- Hangi veriler etkilendi?
- Saldırı yöntemi ve Pays ApS bağlantısı
- Türkiye için çıkarılacak dersler
- Kaynakça
1) Olayın Özeti
Eylül 2026'da (yaklaşık 10-20 Eylül arası) bir saldırgan, Pays ApS adlı bir şirketin CPR sorgulama yetkisini kötüye kullanarak 14 milyondan fazla sorgu gerçekleştirdi. Anormal yüksek fatura nedeniyle 2 Ekim'de fark edildi. Danimarka Araştırma, Eğitim ve Dijitalleşme Bakanlığı'na göre isimler, adresler ve CPR numaraları (ülkenin ulusal kimlik numarası) ifşa oldu. Kayıt ayrıca medeni durum, aile ilişkileri, kilise üyeliği ve hukuki ehliyetsizlik gibi ek alanlar da tutabiliyor. Name/address protection (isim-adres gizliliği) kaydı olan kişiler için durum ayrıca değerlendiriliyor.
2) "123456" Gerçeği
Danimarka medyası (Politiken, Berlingske, TV 2) Pays ApS'teki birden fazla profilin aynı zayıf parolayı kullandığını raporladı. Yani saldırı sofistike bir sıfırıncı gün değil; parola hijyeni felaketi. CPR gibi ulusal bir sisteme yasal erişimi olan bir aracı kurumda bu kadar zayıf bir parolanın kullanılması, "üçüncü taraf risk yönetimi"nin neden kritik olduğunu bir kez daha gösteriyor.
3) Türkiye İçin Dersler
- e-Devlet, MERNİS, SGK, banka ve telekom API'lerine erişen aracı kurumların parola/MFA politikaları sıkı denetlenmeli.
- Ulusal kimlik numarası (T.C. kimlik no) içeren sorgularda anomali tespiti (ani sorgu patlaması, gece saatleri, alışılmadık IP) zorunlu olmalı.
- "Yasal erişim" ile "güvenli erişim" aynı şey değil; yetki verilen her üçüncü taraf için ayrı MFA, ayrı loglama ve ayrı fatura/kullanım izleme gerekir.
- Kişisel olarak: Have I Been Pwned ve benzeri servisleri düzenli kontrol edin; banka ve e-Devlet için benzersiz, uzun parolalar + MFA kullanın.
Kaynakça
- Privacy Guides - Data Breach Roundup (3-8 Ekim 2026)
- Data Breaches Digest - Ekim 2026
- Politiken - Hacker shares 8.7 million ID-information
- TV 2 - CPR sızıntısının geçtiği şirket
Görsel: TurkTeam özgün kapak görseli.