概要
デンマーク政府は10月5日、中央国民登録(CPR)データベースから約880万人分の個人情報が不正に流出したことを発表した。デジタル担当省によると、何者かがデンマーク国内の一企業に付与されていたCPRシステムへの正規のアクセス権限を悪用し、生存者・死亡者・国外移住者を含む登録者約1,100万人のうち、大半にあたる880万人分の情報を抽出した。デンマークの総人口(約600万人)を上回る規模のデータが対象となっており、同国史上でも最大級の情報漏洩事案とみられる。不正行為は2026年9月に発生し、金曜日の夜に発覚、週明けの月曜日に公表された。
何が流出したか
漏洩したデータには氏名、住所、CPR番号(社会保障番号に相当する個人識別番号)に加え、婚姻状況、出生登録情報、家族関係、デンマーク国教会への所属情報、法的能力(成年後見等)に関する情報も含まれる。一方で、ストーカーやDV被害などの事情により住所非公開の保護措置(protective registration)が適用されている個人については、氏名・住所は流出を免れたとされる。デジタル化担当大臣のクリスティーナ・エーゲルンド氏は「これは極めて深刻な事案だ」と述べ、国会のビジネス・デジタル化委員会への説明を行ったことを明らかにした。
侵入の手口と政府の対応
CPR管理当局の説明によれば、侵入者は企業に認められていた合法的な検索アクセス権を悪用し、システムから情報を抜き出した。この手法は外部からの直接的なハッキングではなく、既に与えられていた正規の権限を乱用する形だったため、発覚までに時間を要したとみられる。報道では侵害を受けた企業の具体名は明らかにされていない。政府は発覚後ただちに当該企業のシステムアクセスを遮断し、データ保護当局(Datatilsynet)および警察に通報、専門家を交えた調査チームを立ち上げて被害の全容解明を進めている。あわせてCPRシステム全体のセキュリティ体制を見直す本格的な審査の実施も発表された。
今後の見通し
政府は国民に対し、公式サイト「sikkerdigital.dk」で最新情報を確認するよう呼びかけるとともに、個人情報を知っているように見える電話やメールの相手であっても、パスワードや機密情報を安易に伝えないよう注意を促している。今回の事案は、国民一人ひとりに割り当てられた恒久的な識別番号を国全体のデジタル行政基盤の核として利用する北欧型の国民IDモデルが抱えるリスクを改めて浮き彫りにした。CPR番号は銀行口座開設や医療、税務など生活のあらゆる場面で使われるため、流出した情報がなりすましや詐欺に悪用される懸念が強く、デンマーク当局による被害範囲の確定と再発防止策の実効性が今後問われることになる。