Danimarka’da kimlik numarası ve nüfus kayıtlarını tutan merkezi sistemde, bir özel şirket hesabı üzerinden yapılan otomatik sorgularla yaklaşık 8,8 milyon kişinin kaydına erişildi. Olay, Eylül ayında yaklaşık 10 gün sürdü; yetkililer 2 Ekim Cuma günü olağandışı hareketliliği fark etti, 5 Ekim’de ise kamuoyuna açıklama yaptı.
Erişim, Danimarka’daki Central Person Register yani CPR üzerinden gerçekleşti. Sistemi yöneten kurum, şirketin erişimini durdurdu ve dosyayı Danimarka’nın veri koruma otoritesi Datatilsynet’e bildirdi. Polis de soruşturmaya dahil oldu. Dijitalleşmeden sorumlu bakan Christina Egelund, erişimin küçük bir Danimarkalı şirket üzerinden gerçekleştiğini ve olayın yaklaşık 10 gün boyunca sürdüğünü aktardı.
Otomatik sorgularla geçerli CPR numaraları arandı
Datatilsynet, 5 Ekim’de yayımladığı bildiride çok sayıda otomatik sorgu yapıldığını ve bu sorguların geçerli kişisel kimlik numaralarını, yani CPR numaralarını bulmaya dönük olduğunu yazdı. Kurum, değerlendirme sürecinin henüz tamamlanmadığını vurguladı ve elde edilen numaraları şimdilik iddia edilen veriler olarak tanımladı. Bildirim, kayıt sisteminden bir gün önce gelen ihbara dayanıyor.
Bakanlığın açıkladığı 8,8 milyonluk sayı kesinleşmiş değil. Bu rakam, yaşayanları, yurt dışına taşınanları, ölenleri ve kayıtlı diğer kişileri kapsıyor. CPR sistemi toplamda yaklaşık 11 milyon kişiyle ilgili kayıt tutuyor. Bu da erişimin kayıtların yaklaşık beşte dördünü kapsadığı anlamına geliyor.
CPR, 1968’den beri Danimarka’da yaşamış ya da yaşamış olan herkesin kaydını tutuyor. İstatistik Danimarka’nın verilerine göre ülkede 2025’in başında nüfus 6 milyonun biraz altındaydı. Bu nedenle kayıt havuzunun nüfustan daha büyük olması, sistemin uzun yıllara yayılan kapsamını da yansıtıyor.
Yetkililer, erişimin özel şirketlere verilebilen veri sınırları içinde kaldığını, ad ve adres koruması bulunan kişilerin ise isim ve adreslerinin paylaşılmadığını söyledi. Ancak bu kişilerin CPR numaralarına ulaşılıp ulaşılmadığı açıklanmadı. Bakanlık, etkilenen 8,8 milyon kişinin tek tek bilgilendirilip bilgilendirilmeyeceğine dair de net bir bilgi vermedi.
Yetkililer güvenlik incelemesini başlattı
Egelund, güvenlik önlemlerinin bu tür bir erişim için yeterince sağlam olmadığını kabul etti ve bu kadar uzun süren olağandışı faaliyetin alarm üretmesi gerektiğini söyledi. Bakanlık, benzer bir olayın tekrarlanmaması için önlemler aldığını duyurdu ancak bu adımların ayrıntısını paylaşmadı. Egelund ayrıca kayıt sistemi için kapsamlı bir güvenlik incelemesi istedi.
Datatilsynet şimdi olayın nasıl gerçekleştiğini, nasıl mümkün olduğunu ve kişisel verileri kimin yönettiğini inceliyor. Polis soruşturmasının hangi aşamada olduğu ise açıklanmadı.
Resmî açıklamalar üç temel soruyu açık bıraktı: Şirket sistemlerine nasıl girildi, veriler alındıktan sonra saklandı ya da kullanıldı mı, erişimi sağlayan kişiler kimdi. Yetkililer bu sorulara yanıt ararken, şimdilik yalnızca bir şirket hesabının değil, Danimarka’nın en geniş nüfus kayıt altyapılarından birinin de inceleme altında olduğu anlaşılıyor.
Bakanlık, vatandaşları da dolandırıcılık girişimlerine karşı uyardı ve kendilerini arayan ya da e-posta atan kişilere parola veya başka gizli bilgi verilmemesi gerektiğini hatırlattı. Yetkililer, karşı taraf kişisel ayrıntıları biliyor gibi görünse bile bu kuralın değişmediğini vurguladı.
Kurum, güvenlik amacıyla sikkerdigital.dk sitesindeki önerileri işaret etti. Bu listede beklenmedik kısa mesaj, arama ve e-postalara karşı ekstra dikkatli olunması, bilinmeyen iletilerdeki bağlantılara tıklanmaması, MitID bilgileri ile tek kullanımlık kodlar, parolalar ve kart bilgilerinin paylaşılmaması ve borger.dk üzerinden kredi uyarısı tanımlanması yer alıyor.
Devletin dijital güvenlik yardım hattı Cyberhotline for digital sikkerhed, +45 33 37 00 37 numarası üzerinden destek veriyor. Yetkililer, açıklamanın ardından günlerde hattın çalışma saatinin 08.00 ile 24.00 arasına uzatıldığını bildirdi.
Kredi uyarısı, CPR kaydına eklenen ve adınıza kredi ya da borç verilmeden önce şirketlerin ekstra kontrol yapması gerektiğini belirten bir işaret. borger.dk’ye göre bu işaret, hizmeti kabul eden şirketler için bir uyarı sinyali işlevi görüyor. Yeni işaret hemen kayda geçiyor, ancak şirketlerin sistemlerine ulaşması birkaç gün sürebiliyor. 15 yaş ve üzerindeki herkes bu işareti koyabiliyor; işaret kaldırılana kadar kredi başvurularının onaylanmasını zorlaştırabiliyor.
CPR numarası bir kişiyi tanımlamaya yarasa da, resmî kılavuzlara göre tek başına kimlik kanıtı olarak kullanılamıyor. Bu yaklaşım, numaranın özel şirketlere verilse bile tek başına yeterli doğrulama aracı sayılmaması gerektiği anlamına geliyor.
2023 tarihli CPR Yasası’na göre şirketler, daha önce tek tek kimliğini belirledikleri kişilerle ilgili kayıt verisi alabiliyor. Bir kişiyi bu amaçla tanımlamak için CPR numarası tek başına yeterli kabul ediliyor. Şirketlerin alabileceği veri setinde, koruma altında değilse kişinin mevcut adı ve adresi ile ölüm, yurt dışına taşınma ve kredi uyarısı gibi bilgiler yer alıyor. CPR numarasının kendisi ise bu listede bulunmuyor.
CPR numarası 10 haneden oluşuyor: ilk 6 hane doğum tarihini, son 4 hane ise seri numarasını gösteriyor. Son hanenin kadınlarda çift, erkeklerde tek olması nedeniyle her doğum tarihi için en fazla 10 bin olası kombinasyon bulunuyor. Datatilsynet’in bildiriminde, sorguların geçerli numaraları bulmak için yapıldığı yazıyor; ancak ne kurum ne de bakanlık, bu olasılıkların sistematik biçimde taranıp taranmadığını açıklamadı.
Yasa, kayıt sistemine erişim koşullarını ve güvenlik tedbirlerini, ilgili bakanlığın belirlemesine izin veriyor. Egelund, bu tür erişimlere dönük denetimlerin yeterince sağlam olmadığını söyledi ve sürenin uzunluğu nedeniyle alarmların çok daha önce devreye girmesi gerektiğini kabul etti.
Şimdilik herkesin yeni bir CPR numarası alıp almayacağı da net değil. Bakan, bunun için henüz erken olduğunu belirtti. Mevcut mevzuat, numarası kötüye kullanılan kişiler için özel durumlarda yeni CPR numarası verilmesine zaten izin veriyor.