圈小蛙
在现代国家治理中，国家级的人口与民事登记系统往往被视为数字主权的最后一道堡垒，理应拥有最高等级的军事化加密与访问审计。然而，现实中的安全溃败有时往往源于最令人匪夷所思的低级疏漏。继此前丹麦政府承认遭遇历史级数据泄露后，2026年10月上旬，随着事故调查的不断深入，这起导致全国 880 万人口隐私“裸奔”的惊天大案，其荒诞的幕后源头被彻底公诸于众。
根据 哥本哈根邮报关于丹麦 CPR 数据泄露事件中发现“123456”弱密码的深度报道 披露，这场灾难性的入侵并非依靠高深莫测的零日漏洞（0-day）攻击，而是始于一条形同虚设的“供应链外包防线”。
22 天的自由进出：黑客借道 Pays ApS 疯狂查询 1400 万次
根据丹麦官方与安全专家的联合复盘，这起黑客入侵事件的时间跨度长得令人咋热。
攻击活动正式开始于 2026 年 9 月 10 日，直到 10 月 2 日才被安全系统察觉并切断，整个非法潜伏期长达 21 天 17 小时（近 22 天）。在这段宽松的窗口期内，黑客并未急于破坏系统，而是稳扎稳打地通过一家名为 Pays ApS 的丹麦本土小型私营企业作为跳板。该企业由于业务合作关系，合法拥有连接国家民事登记系统（CPR）的 API 访问凭证。利用这一合规通道，黑客在近三周的时间里肆无忌惮地运行自动化脚本，总共发起了约 1,400 万次针对全量人口数据的检索与下载，最终将全丹麦 880 万现居民、海外侨民及已故人员的姓名、住址和核心社会安全号码（CPR号码）洗劫一空。
全员“123456”：小公司的灾难性安全意识
真正让网络安全界感到震惊和愤怒的，是 Pays ApS 这家公司在面对国家级敏感数据时的极度怠惰与荒唐。
经查，Pays ApS 是一家仅有两名员工的微型企业。然而，就是这样一家承担着国家人口数据交互接口的节点公司，其内部信息安全管理几乎等于零。调查发现，该公司至少有三个不同的系统账户在面对高权限后台时，竟然不约而同地设置了网络安全课本中被批判了数十年的终极弱密码——“123456”。更令人匪夷所思的是，这其中还包含了一个拥有直接修改与导出权限的超级管理员账号。
对于这一结果，丹麦奥尔堡大学的计算机工程学教授延斯·迈鲁普·彼得森（Jens Myrup Pedersen）在接受媒体采访时进行了毫不留情的痛斥。他直言不讳地指出，Pays ApS 根本没有建立任何现代意义上的安全防御体系，其内部系统在黑客面前简直可以用“门户大开、不设防”来形容。
供应链外包成最大软肋：敲响国家级政务云警钟
这起因“123456”密码引发的国家级数据泄露事故，迅速在丹麦国内引发了滔天的政治与社会舆论风暴。
它彻底暴露了当前许多国家在推进政务数字化和外包服务时存在的严重制度漏洞：庞大而坚固的国家级核心数据库，往往为了追求行政便利，通过无数个中小企业、外包商的 API 接口向外延伸。而这些缺乏合规安全资质、缺乏专业 IT 运维团队的小微企业，恰恰成为了整个国家网络防御链条中最脆弱的“阿喀琉斯之踵”。随着海量 CPR 身份证号的永久外流，数百万丹麦公民在未来数年内都将长期面临身份盗窃、电信诈骗及精准钓鱼的严峻威胁。这记沉重的耳光，正迫使欧洲各国重新审视其政务供应链的安全合规准入标准。
本报道由 圈小蛙（qxwa.com） 科技资讯站特约撰稿。🐸️