Danimarka, son yılların en dikkat çekici kişisel veri güvenliği olaylarından biriyle karşı karşıya. Ülkenin Merkezi Kişi Kayıt Sistemi’nde (CPR) bulunan yaklaşık 8,8 milyon kişiye ait isim, adres ve kişisel kimlik numarası bilgilerinin yetkisiz kişiler tarafından görüntülendiği resmi olarak doğrulandı.
Olayı daha da çarpıcı hale getiren ayrıntı ise saldırganın sisteme son derece basit bir parola üzerinden eriştiği iddiası. Danimarka basınında yayımlanan bilgilere göre saldırıyı gerçekleştirdiğini öne süren kişi, sisteme erişim yetkisi bulunan özel bir şirkette kullanılan hesaplardan birinin parolasının yalnızca “123456” olduğunu söyledi.
Ancak burada önemli bir ayrıntı bulunuyor: Danimarkalı yetkililer veri ihlalini doğrularken “123456” parolasının kullanıldığı iddiasını henüz resmi olarak doğrulamış değil.
8,8 milyon kişinin CPR bilgilerine erişildi
Danimarka Araştırma, Eğitim ve Dijitalleşme Bakanlığı tarafından yapılan resmi açıklamaya göre yetkisiz kişiler, yaklaşık 8,8 milyon kayıtlı kişinin isim, adres, CPR numarası ve bazı diğer bilgilerine erişim sağladı.
Danimarka’nın CPR sistemi, yalnızca ülkede şu anda yaşayan vatandaşları kapsamıyor. Yaklaşık 11 milyon kayıt barındıran veri tabanında yaşamını yitiren kişiler ve Danimarka’dan yurt dışına taşınmış eski sakinlere ilişkin kayıtlar da bulunuyor.
Bu nedenle etkilenen kayıt sayısının Danimarka’nın mevcut nüfusundan daha yüksek olması mümkün.
Yetkililerin açıklamasında dikkat çeken bir diğer ayrıntı ise isim ve adres bilgilerinin gizlenmesini talep etmiş kişilerin koruma kapsamındaki adres ve isim bilgilerinin saldırıda açığa çıkmadığının belirtilmesi oldu.
Merkezi sistem doğrudan hacklenmedi
Olay klasik anlamda Danimarka devletinin merkezi veri tabanının doğrudan kırılması şeklinde gerçekleşmedi.
Saldırgan veya saldırganlar bunun yerine CPR sistemi üzerinde yasal sorgulama yetkisine sahip özel bir Danimarka şirketinin hesabını kötüye kullandı.
Danimarkalı yetkililer ilk açıklamalarında şirketin adını paylaşmadı. Daha sonra Funen bölgesindeki Odense kentinde faaliyet gösteren Pays ApS, kendi erişiminin saldırıda kullanıldığını doğruladı.
Şirketin CPR sistemi üzerinde müşterilere ait bazı bilgileri doğrulamak gibi işlemler için yasal sorgulama yetkisine sahip olduğu belirtiliyor.
10 günde yaklaşık 14 milyon otomatik sorgu yapıldı
Ortaya çıkan belgeler saldırının ölçeğini de gözler önüne seriyor.
Danimarka basınında yayımlanan bilgilere göre saldırgan, 10 Eylül ile 20 Eylül 2026 tarihleri arasında yaklaşık 14 milyon otomatik sorgu gerçekleştirdi.
Yetkisiz faaliyetin ise ancak 2 Ekim 2026 tarihinde fark edildiği bildiriliyor.
Saldırının alışılmadık şekilde ortaya çıkarıldığı da dikkat çekiyor. Aktarılan bilgilere göre bir kamu çalışanının Pays ApS üzerinden gerçekleşen işlemlere ilişkin olağan dışı yüksek bir faturayı fark etmesi, milyonlarca sorgunun incelenmesine yol açtı.
Danimarka Veri Koruma Kurumu’na 4 Ekim’de bildirim yapılırken olay 5 Ekim 2026’da kamuoyuna açıklandı.
Şifre gerçekten “123456” mıydı?
Olayın dünya çapında gündeme gelmesini sağlayan ayrıntı ise kullanılan parola oldu.
Danimarka gazetesi Politiken’e konuşarak saldırıyı gerçekleştirdiğini iddia eden kişi, eski bir çalışana ait sızdırılmış giriş bilgileri üzerinden erişim sağladığını öne sürdü.
Basında yayımlanan incelemelere göre Pays ApS bünyesinde en az üç farklı hesabın “123456” parolasını kullandığı, bunlardan birinin de yönetici hesabı olduğu iddia ediliyor.
Bu bilgi çeşitli Danimarka kaynakları tarafından aktarılmış olsa da Danimarka hükümetinin resmi veri ihlali açıklamasında parolaya ilişkin herhangi bir doğrulama bulunmuyor.
Dolayısıyla “123456” ayrıntısını şu aşamada saldırıyla ilgili doğrulanmış resmi bir bulgudan ziyade basın tarafından aktarılan güçlü bir iddia olarak değerlendirmek gerekiyor.
Saldırgan verileri satmayacağını söylüyor
Saldırıyı üstlendiğini söyleyen kişi ayrıca ele geçirilen verileri satmayı veya kamuya açık şekilde paylaşmayı planlamadığını iddia etti.
Bununla birlikte milyonlarca kişinin kimlik bilgilerinin yetkisiz şekilde görüntülenmiş olması, verilerin gelecekte kötü amaçlarla kullanılmayacağı anlamına gelmiyor.
İsim, adres ve kişisel kimlik numaraları özellikle hedefli oltalama saldırıları, sosyal mühendislik girişimleri ve kimlik dolandırıcılığı açısından saldırganlara önemli avantaj sağlayabiliyor.
Danimarka’daki dijital kimlik sistemleri nedeniyle yalnızca bir CPR numarasıyla doğrudan başka bir kişinin hesabına giriş yapmak mümkün olmasa da saldırganların gerçek kişisel verileri kullanarak hazırlayacağı sahte mesajlar çok daha ikna edici hale gelebilir.
Basit parola kadar üçüncü taraf güvenliği de tartışılıyor
Yaşanan olay yalnızca zayıf parola kullanımına ilişkin bir örnek değil.
Asıl dikkat çekici noktalardan biri, kritik bir kamu veri tabanının güvenliğinin sisteme erişim yetkisi verilen üçüncü taraf şirketlerin güvenliğiyle doğrudan bağlantılı olması.
Bir devlet kurumunun kendi sunucularında güçlü güvenlik önlemleri kullanması tek başına yeterli olmayabiliyor. Sisteme dışarıdan bağlanan şirketlerin hesaplarında zayıf parola politikaları bulunması, çok faktörlü kimlik doğrulamanın kullanılmaması veya sıra dışı sorguların zamanında fark edilmemesi bütün güvenlik zincirini tehlikeye atabiliyor.
Danimarka makamları olayın ardından ilgili şirketin CPR erişimini durdurduğunu ve benzer olayların tekrar yaşanmasını önlemek amacıyla sistem üzerinde yeni güvenlik önlemleri uygulanmaya başlandığını açıkladı.
Olayla ilgili polis ve ilgili kurumların soruşturması ise devam ediyor.
“123456” olayı siber güvenliğin en eski sorununu yeniden hatırlattı
Siber güvenlik teknolojileri her geçen yıl daha gelişmiş hale gelirken Danimarka’da yaşanan olay oldukça temel bir gerçeği yeniden gündeme taşıdı: En gelişmiş sistemler bile erişim zincirindeki en zayıf hesap kadar güvenli olabilir.
“123456” iddiasının soruşturma sonucunda doğrulanması halinde milyonlarca kişinin kişisel verilerinin ele geçirilmesine neden olan güvenlik açığının karmaşık bir zero-day saldırısından veya gelişmiş kötü amaçlı yazılımdan değil, tahmin edilmesi saniyeler sürebilecek bir paroladan kaynaklanmış olması olayın en dikkat çekici tarafı olacak.
