أعلنت وزارة الرقمنة الدنماركية أن جهات غير مصرح لها تمكنت من الوصول إلى أسماء وعناوين وأرقام هوية شخصية تخص نحو 8.8 مليون شخص، أحياء وأمواتًا، في السجل الوطني للسكان في البلاد. وجرى ذلك عبر استغلال حق قانوني تتمتع به شركة دنماركية خاصة في الاستعلام عن السجلات، في واقعة تثير أسئلة جدية حول ضوابط الوصول التي تحكم بيانات المواطنين الحساسة.
تفاصيل الاختراق وكيف جرى الوصول إلى السجل المركزي
قالت الوزارة في بيان صدر في الخامس من أكتوبر إن الوصول تم عبر حساب شركة خاصة لها حق الاستعلام في السجل المركزي للأشخاص المعروف اختصارًا بـ CPR. وأوضحت أن إدارة السجل أوقفت وصول الشركة وأبلغت هيئة حماية البيانات الدنماركية Datatilsynet، فيما تجري الشرطة تحقيقًا في الواقعة. وذكرت الهيئة في إشعار صدر في اليوم نفسه، استنادًا إلى إخطار تلقته من إدارة السجل قبل يوم، أن عددًا كبيرًا جدًا من عمليات الاستعلام الآلية نُفذ في السجل بهدف تحديد أرقام هوية شخصية صالحة، مشيرة إلى أنها لم تقيّم الحالة بعد وإلى أنها تصف الأرقام بأنها مسترجعة بحسب الادعاء.
وبحسب كريستينا إيغلوند، وزيرة الرقمنة التي تحدثت إلى وكالة ريتزاو، استمر الوصول نحو عشرة أيام في سبتمبر عبر شركة دنماركية صغيرة. ولاحظ أحد موظفي إدارة السجل النشاط غير المعتاد يوم الجمعة الثاني من أكتوبر، وعرفت الإدارة خلال عطلة نهاية الأسبوع عدد الأشخاص الذين طالت سجلاتهم. وتبقى ثلاثة أسئلة مفتوحة في التصريحات الرسمية، هي كيفية وصول الجهات غير المصرح لها إلى أنظمة الشركة، وما إذا كانت قد احتفظت بالبيانات أو استخدمتها، وهوية هذه الجهات.
حجم البيانات المكشوفة والفئات المشمولة
يعود رقم 8.8 مليون إلى الوزارة وهو غير نهائي بعد، ويشمل المسجلين في السجل من مقيمين أحياء ومن انتقلوا للعيش في الخارج وموتى وغيرهم. ويضم السجل نحو 11 مليون شخص إجمالًا، ما يعني أن الوصول غطى قرابة أربعة أخماسهم. ويسجل السجل منذ عام 1968 كل من يقيم أو أقام في الدنمارك، في حين كان عدد سكان البلاد أقل بقليل من 6 ملايين مطلع 2025 بحسب هيئة الإحصاء الدنماركية.
وقالت الوزارة إن الوصول بقي ضمن البيانات التي يحق للشركات الخاصة تلقيها، ولم يشمل أسماء وعناوين المسجلين بحماية الاسم والعنوان، وهي صفة تمنع السجل في معظم الحالات من الكشف عن اسم الشخص وعنوانه للشركات أو الأفراد. ولم يوضح بيان الوزارة ما إذا كانت أرقام الهوية الخاصة بهؤلاء قد طالها الاختراق، ولا ما إذا كان سيجري إبلاغ كل شخص على حدة بأنه من بين الـ8.8 مليون.
ما يمكن لحاملي رقم CPR فعله لحماية أنفسهم
أحالت الوزارة المواطنين إلى موقع sikkerdigital.dk الذي يعرض أربع خطوات للحماية من الاحتيال. تبدأ بالانتباه الشديد للرسائل النصية والمكالمات والبريد الإلكتروني غير المتوقعة التي يستخدم مرسلوها تفاصيل شخصية عن المستلم، وعدم النقر على الروابط في الرسائل غير المتوقعة والتوجه بدلًا من ذلك إلى الموقع الرسمي أو الاتصال برقم المرسل الرئيسي للتحقق. وتشمل أيضًا عدم مشاركة تفاصيل MitID أو الرموز أحادية الاستخدام أو كلمات المرور أو بيانات البطاقات، وتفعيل تحذير ائتماني عبر موقع borger.dk. وتقدم الخط الساخن للأمن الرقمي الذي تديره الحكومة على الرقم 33 37 00 37 45+ المساعدة في هذه الخطوات، وقد مدّد ساعات عمله من الثامنة صباحًا حتى منتصف الليل في الأيام التالية للإعلان. وشددت الوزارة على ألا يعطي أحد كلمات مرور أو معلومات سرية لأي شخص يتصل أو يراسل، حتى لو بدا أنه يعرف هذه التفاصيل.
والتحذير الائتماني علامة في السجل تعني أن صاحبها يريد تنبيه الشركات إلى توخي الحذر قبل منح قروض أو ائتمان باسمه، وهو يعمل كإشارة فحسب، إذ تُطلب من الشركات التي تختار استلامه عناية إضافية عند التحقق من الهوية قبل الإقراض، بحسب موقع borger.dk. وتُسجَّل العلامة الجديدة فورًا لكنها قد تستغرق أيامًا لتصل إلى أنظمة الشركات، ويستطيع تفعيلها كل من بلغ الخامسة عشرة فما فوق، وقد يجعل ذلك طلبات القروض الخاصة بصاحبها أصعب في الموافقة إلى حين إزالتها. وتنص الإرشادات الرسمية للسجل على أن رقم CPR يساعد في تحديد هوية الشخص لكن لا يجوز اعتماده دليلًا وحيدًا على الهوية.
كيف تحصل الشركات على بيانات السجل وما الثغرات في التفسير الرسمي
بموجب نص عام 2023 من قانون السجل المدني الدنماركي، يمكن للشركات تلقي بيانات السجل عن أشخاص سبق أن حددت هوياتهم فرادى، ويكفي رقم CPR وحده لتحديد الشخص لهذا الغرض. وتشمل البيانات التي يمكنها تلقيها الاسم والعنوان الحاليين ما لم يكونا محميين، إضافة إلى تفاصيل مثل الوفاة أو الانتقال إلى الخارج أو التحذير الائتماني، أما رقم CPR نفسه فليس ضمن هذه القائمة. ويتألف الرقم من عشر خانات، ست منها لتاريخ الميلاد وأربع تسلسلية تكون الأخيرة منها زوجية للنساء وفردية للرجال.
وبحسب حساب أجراه موقع The Hacker News، فإن هذه الصيغة تتيح عشرة آلاف رقم محتمل على الأكثر لكل تاريخ ميلاد، ولم يوضح إشعار هيئة حماية البيانات ولا بيان الوزارة ما إذا كانت الاستعلامات قد جرت بتجربة هذه الاحتمالات. وتفيد إرشادات السجل بأن الشركات لا يجوز لها الحصول إلا على بيانات من تتعامل معهم أصلًا، كالعملاء أو الموظفين، ولم تفسر التصريحات الرسمية كيف غطى وصول شركة واحدة بموجب هذه القواعد قرابة أربعة أخماس المسجلين. ويقع على عاتق الوزارة المسؤولة عن السجل بموجب القانون تحديد شروط وصول الشركات، ومنها الإجراءات الأمنية، وقالت إيغلوند لوكالة ريتزاو إن الضمانات المحيطة بهذا النوع من الوصول لم تكن متينة بما يكفي، وأقرت بأن الإنذارات كان ينبغي أن تُطلق بالنظر إلى طول مدة الوصول.
الخطوات المقبلة والتحقيقات الجارية
بدأت الوزارة إجراءات لمنع تكرار الواقعة لم يفصّلها بيانها، وطلبت الوزيرة مراجعة أمنية شاملة للسجل. وتفحص هيئة حماية البيانات ما حدث وكيف أمكن حدوثه ومن يتحمل مسؤولية معالجة البيانات الشخصية. وقالت إيغلوند لريتزاو إنه من السابق لأوانه الحكم على ما إذا كان الناس سيحتاجون إلى أرقام CPR جديدة، علمًا بأن القانون يتيح بالفعل إصدار رقم جديد في حالات خاصة إذا أُسيء استخدام رقم الشخص.
