デンマークの国の住民登録で、民間企業の正規の照会権限が悪用され、約880万人分の個人番号と氏名・住所が漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、氏名、住所、個人番号（CPR番号）。約880万人分。登録には存命の住民、国外に移った人、亡くなった人を含む約1100万件がある。氏名と住所の保護を登録している人は対象外とされるです。その後の対応と影響は、会社の照会権限を止め、警察（特別犯罪対策部門）が捜査している。大臣が住民登録の安全点検を命じた。市民保護の担当庁は、個人番号だけで本人確認をしないよう企業と行政に求めた。個人番号を作り直すかは決まっていないです。

原因になったのは「民間企業の正規の照会権限を使った機械的な大量照会」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

報道では、民間企業は照会1件ごとに料金を払う仕組みで、9月の10日ほどの間にその会社のアカウントから1400万回を超える照会があり、約880万件が実在の記録に一致した。照会の請求を出した時に件数の多さが見つかった。会社の権限がどう使われたかは捜査中で、誰が行ったかは特定されていない。

原因の種類は「その他」です。上の分類に当てはまらない事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は14件あります。

事故が起きてから公表されるまで

1. 2026年9月照会権限を持つ会社のアカウントから、10日ほどで1400万回を超える照会が行われる
2. 2026年10月2日請求の処理で異常な照会に気づく
3. 2026年10月3日警察が会社を訪れて証拠を確保する
4. 2026年10月5日デジタル化省が約880万人分の流出を公表し、会社の権限を止める

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

照会を認めた外部の会社ごとに、1日あたりの照会件数の上限と、普段と違う件数の照会を即時に知らせる仕組みがあれば、請求の時点より前に止められた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 自社のデータベースやAPIに照会を認めている取引先と、その権限の一覧を作る
2. 取引先ごとの照会件数を日単位で見て、上限と通知の設定があるかを確認する
3. 照会結果に返す項目が、取引先の業務に必要な範囲に絞られているかを確認する

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• Denmark population registry data breach affects 8.8 million people（BleepingComputer）2026.10.05
• Denmark breach register cyberattack（The Record）2026.10.05
• Denmark's CPR breach: 14 million lookups in ten days, found through a bill（The Next Web）2026.10