丹麦中央人口登记系统（CPR）遭遇严重入侵：约880万登记人员的姓名、地址及CPR号码被未授权窃取。调查显示，黑客利用IT服务商Pays ApS一名前员工泄露的弱密码"123456"，在长达21天的时间里持续导出数据，而入侵行为迟迟未被发现。
一个国家的"身份证库"失守
CPR号码是丹麦公民的终身唯一标识，贯穿税务、医疗、银行、社保几乎所有社会生活。880万条记录——考虑到丹麦总人口约590万，被窃数据显然覆盖了历史登记乃至已故人员信息。这类标识符不像密码可以重置，一旦泄露就是永久性的，后续的身份冒用风险将持续数十年。
更刺眼的是入侵方式：弱密码"123456"。不是0day漏洞，不是APT级的高级攻击，而是一个本应在任何安全基线检查中被拦下的低级失误。攻击者用它堂而皇之地登录系统，21天里从容地搬运数据。
供应链安全的又一课
值得注意的是，漏洞出在IT服务商Pays Aps的前员工环节——典型的供应链安全问题。核心国家数据库的运维外包给第三方，第三方的人员离职交接又出现疏漏，层层转包之下，安全责任被稀释到了"123456"。
丹麦当局表示调查仍在进行中。但对全球各国的启示已经足够清晰：关键基础设施的安全水位，取决于最弱的那个外包环节。而"弱密码"这种上世纪的问题，在2026年依然能攻破国家级数据库，说明安全投入和安全文化之间，永远隔着一道执行力的鸿沟。