Register kependudukan pusat Denmark, Central Person Register (CPR), dibobol. Data sekitar 8,8 juta orang dilaporkan diambil: nama, alamat, dan nomor CPR — nomor identitas penduduk Denmark yang fungsinya mirip NIK di Indonesia.
Yang terdampak bukan cuma orang yang sekarang tinggal di Denmark. Register itu juga memuat data orang yang sudah pindah ke luar negeri dan yang sudah meninggal. Pemerintah Denmark menyebutnya kebocoran data terbesar dalam sejarah negara itu. Menteri Christina Egelund menyebutnya insiden serius.
Yang dicuri bukan data sepele. Nomor CPR adalah 10 digit yang dipakai orang Denmark untuk urusan pajak, layanan kesehatan, sampai rekening bank. Menurut TechCrunch, register CPR menyimpan sekitar 11 juta record, termasuk data puluhan tahun ke belakang. Artinya sekitar 4 dari 5 record ikut terkena. Data orang yang punya perlindungan nama dan alamat tidak termasuk yang diambil.
Cara masuknya bukan menembus sistem pemerintah
Ini bagian yang bikin kasus ini menarik. Penyerang tidak menjebol server pemerintah. Mereka memakai akses sah sebuah perusahaan Denmark kecil yang memang diberi izin mencari data di CPR untuk memverifikasi data pelanggan bisnisnya.
Pemerintah Denmark tidak mengumumkan nama perusahaannya. Tapi The Register melaporkan bahwa direktur pengelola Pays ApS, perusahaan berbasis di Funen (wilayah Odense), mengonfirmasi pada 9 Oktober bahwa akses perusahaannya dieksploitasi. Situs web perusahaan itu kini offline. DR, media publik Denmark, menambahkan bahwa perusahaan kecil itu sebelumnya memasarkan diri dengan klaim “perlindungan data superaman”.
Jadi izin resmi mengakses database warga berubah jadi pintu masuk pencurian data massal. Menurut dokumen yang dilaporkan TV 2, akses tidak sah itu berjalan 10–20 September 2026 dengan sekitar 14 juta pencarian otomatis.
Ketahuan dari tagihan, bukan dari alarm
Ini bagian yang paling tidak nyaman. Sistem CPR tidak punya alarm otomatis untuk jenis metode pencarian yang dipakai dalam serangan ini. Tidak ada yang memberi peringatan saat jutaan pencarian berjalan.
“Ini insiden serius,” kata Menteri Christina Egelund soal kebocoran register CPR.
Kebocoran baru ketahuan pada 2 Oktober 2026, alias 12 hari setelah aktivitas terakhir berhenti. Pemicunya sederhana: seorang staf administrasi CPR melihat tagihan yang jumlahnya luar biasa besar ke perusahaan itu. Setiap pencarian di database memang berbiaya, jadi lonjakan aktivitas langsung terlihat di angka tagihan.
Menurut Mikkel Leihardt, kepala departemen di Kementerian Riset, Pendidikan, dan Digitalisasi, tagihan itu yang membuka semuanya. “Ada tagihan yang sangat besar, yang membuat Anda sadar sudah ada banyak aktivitas,” katanya seperti dikutip The Local. Akses perusahaan itu langsung diblokir, dan kebocoran dilaporkan ke Datatilsynet, otoritas perlindungan data Denmark, pada 4 Oktober.
Polisi Denmark kini menyelidiki lewat National Unit for Serious Crime. Sampai sekarang belum ada tersangka dan otoritas belum mengungkap siapa di baliknya. Menurut Leihardt, setelah temuan itu kerentanannya ditutup, pemantauan manual diberlakukan, dan audit keamanan menyeluruh dijalankan di semua sistem IT negara yang kritis. Kalau cek tagihan itu terlewat, kebocoran bisa berjalan sampai 30 hari lagi hingga periode penagihan berikutnya.
Klaim password “123456” yang belum dikonfirmasi
Sosok yang mengaku bertanggung jawab memberi versi berbeda. Menurut klaimnya ke harian Politiken, dia masuk lewat akun sebuah perusahaan IT yang dilindungi password “123456”. Politiken juga melaporkan sedikitnya tiga akun perusahaan — termasuk satu akun admin — memakai password yang sama.
Klaim ini belum dikonfirmasi otoritas. Pemerintah Denmark belum menjawab pertanyaan soal password tersebut. Orang yang mengaku pelaku itu juga bilang tidak berniat menjual atau menyebarkan datanya. DR menemukan satu password perusahaan itu memang pernah muncul di kebocoran data 2025 dan sempat tersedia terbuka di internet, walau DR tidak bisa memastikan apakah itu jalur yang benar-benar dipakai.
Pelajaran buat kita di Indonesia
Kasus ini bukan cuma soal Denmark. Pola yang terjadi di sana gampang terjadi di mana pun: data sensitif warga dipercayakan ke pihak ketiga, lalu akun pihak ketiga itu tidak dijaga seketat data yang dilindunginya. Badan industri Denmark, DI Digital, mencatat aturan CPR sebenarnya sudah mewajibkan login personal, pembatasan alamat IP, penggantian password awal, dan peninjauan statistik transaksi bulanan. Untuk pencarian massal, izin khusus lagi. Semua aturan itu tetap tidak menolong kalau praktiknya di lapangan lemah.
Buat pengelola sistem dengan akses ke data identitas warga, ada beberapa hal yang layak dicek minggu ini: daftar semua vendor yang bisa mengakses data sensitif, termasuk akun demo dan akun uji yang sering terlupakan. Pasang verifikasi dua langkah, dan pantau volume pencarian per akun. Lonjakan 14 juta pencarian dalam sepuluh hari itu seharusnya terlihat di grafik mana pun.
Buat warga, contoh Denmark ini juga pengingat soal penipuan. Kalau datanya benar-benar bocor, penipu bisa menelepon dan menyebut nama, alamat, sampai nomor identitas kita dengan lancar. Tahu nomor identitas orang tidak membuktikan apa pun, jadi jangan pernah kasih password atau kode OTP lewat telepon dan email — bahkan kalau lawan bicaranya terasa sangat meyakinkan.
Sumber
- TechCrunch — Hackers steal 8 million citizens’ records from Danish government database
- The Local Denmark — Danish national registry hack only discovered after unusually large invoice
- DR — Afsløring: Fynsk virksomhed er centrum for massivt CPR-databrud
Kredit foto: Foto ilustrasi: Jebulon (CC0) via Wikimedia Commons.
