Hacker zegt met wachtwoord 123456 Deens persoonsregister te zijn binnengedrongen

De cybercrimineel die gegevens van 8,8 miljoen Denen buitmaakte, kon via een beheerdersaccount binnendringen in het persoonsregister. Dat stelt de Deense krant Politiken op basis van claims van de verantwoordelijke hacker. De aanvaller claimt dat dit account '123456' als wachtwoord gebruikte.

De aanvaller kwam binnen via een bedrijf dat wettelijke toegang heeft tot het bevolkingsregister van Denemarken. Politiken meldt nu dat de aanvaller toegang had tot zeker drie accounts, waaronder het beheerdersaccount. In totaal had hij 21 dagen toegang tot het persoonsregister.

In die tijd downloadde hij de gegevens van miljoenen Deense inwoners. Het gaat om namen, adressen, burgerservicenummers en andere gegevens. De aanvaller claimt zelf dat het om gegevens van 5,5 miljoen levende en 3,3 miljoen overleden Denen gaat.

Het Deense Centraal Register van Personen (CPR) ontdekte het beveiligingsincident op vrijdagavond 2 oktober. Het CPR blokkeerde daarop de toegang van het bedrijf en doet onderzoek naar het incident.

Bron: Witthaya Prasongsin/Moment/Getty Images

Reacties (43)

[Rhinosaur]

Bij het ministerie waar ik werkte hadden we dit ook tijdens pentesten ontdekten. Veel beheersccounts hadden default username en wachtwoord (admin, admin). Komt doordat de technische beheerders de handleidingen niet goed volgen.

[MuddyMagical]

Het feit dat een applicatie geen beter wachtwoord afdwingt is (zonder beheerders die het instellen vrij te pleiten) natuurlijk ook één van de problemen die hier aan bijdragen.

[HenkEisDS]

Zo’n basisregistratiesysteem is waarschijnlijk 50 jaar oud. En elk kwartaal is er wel een ander brandje te blussen. Ik praat het niet goed, maar ik begrijp het wel.

[mphilipp]

En dat is nou juist het probleem: er wordt te lang gewacht met moderniseren. Ik zit al bijna 40 jaar in de ICT en heb veel oude troep voorbij zien komen. Als 'rondreizend consultant' heb ik jarenlang bij allerlei bedrijven gezeten, van multinational tot (lokaal/landelijke) overheid en ook nog wat brancheorganisaties. En het maakt wat dat betreft niet zoveel uit waar je zit, maar ze hebben allemaal hun lijken in de kast. Niet willen upgraden of beginnen na te denken om een legacy applicatie uit te faseren of te vervangen. En dan bedoel ik op de momenten dat het nog makkelijk kan. Dus niet wachten tot je met je rug tegen de muur staat.
Ik heb ooit bij een multinational een inschatting moeten maken over het upgraden van de database voor een bedrijfskritische applicatie. Die draaide nog op een hele oude Solaris versie, en ook de database wat stokoud. Erger nog: in de applicatie zaten elementen om hardware aan te sturen (een productieproces) en zelfs die machines in de fabriek waren (te) oud. Zij hebben dus meerdere kansen gemist om de boel bij de tijd te houden en dan mis je de boot en kun je eigenlijk niets anders meer dan de hele boel opnieuw te maken.

Dus ja, ik snap inderdaad dat bedrijven met legacy zitten, maar dat is ook (meestal) hun eigen schuld. Als je tijdig begint, kun je nog reageren. Maar ja, gewoon niet patchen en nog steeds een Windows NT (!) printserver hebben draaien in je netwerk is natuurlijk vragen om problemen. Er is geen excuus. Maak een roadmap voor je applicaties als je ze in gebruik neemt.

[Tassadar32]

Hier 16 jaar als consultant developer en precies dezelfde ervaring. Moderniseren of op z'n minst onderhoud/updates staat altijd op de laagste prioriteit. Het veilig houden van systemen zal niemand kunnen gebruiken als argument om promotie te krijgen, shiny new feature X wel.

Beveiligingsproblemen worden tegenwoordig als dagelijkse kost gezien, daar word niemand meer op aangesproken of voor ontslagen.

[Piemol]

Ik heb ook wel gezien dat een bedrijf bewust niet overstapt, omdat legacy in de lucht houden bedrijfszekerder is dan overstappen naar software geregeerd door mega investeringsmaatschappijen met vendor lock in (incl hardware !).

Dan is legacy 'de minst slechte oplossing'.
En dan regelmatig kritisch kijken of je in beweging moet komen, dat wordt dan wel erg belangrijk.

[DigitalExorcist]

Ja maar dit is meer als iemand die een jerrycan benzine in het bos leegkiepert en vervolgens met brandende fakkels gaat jongleren..

[GrooV]

Ook 50 jaar geleden was het geen goed idee

[hqql]

Er is imo ook een bepaalde mate van verantwoordelijkheid die je zelf draagt voor de gegevens waar je toegang tot hebt. Als je toegang krijgt tot gegevens van miljoenen burgers moet er wel ergens een lampje gaan branden dat 123456 geen geweldig wachtwoord is.

[Tassadar32]

Helaas werken er ook mensen met erg weinig IT vaardigheid, gezond verstand of die gewoon erg dom zijn in die posities. Een check of een wachtwoord in grote lekken zit of te simpel is is wel het minste wat je kan doen.

[hqql]

Als onbekwaamheid de zwakste schakel in je veiligheidsketen is dan zijn IT 'oplossingen' niet alleen noodzakelijk maar schieten deze ook ver tekort om dat volledig op te kunnen vangen imo.

Natuurlijk kun je iets simpels als 'complexe wachtwoord vereisten' instellen in je organisatie om een wachtwoord als 123456 te voorkomen, en dat moet ook en zal ook helpen, maar je kunt het nog zo mooi met persoonlijke 3FA werken en alles mooi up to date hebben etc. etc. als er iemand met 'meer toegang dan kunde' gebeld wordt door "IT" dat ze even een "Teams Update" moeten installeren en vwoep alles ligt op straat

[willieverhoef]

En MFA verplicht zou je op dit soort systemen ook verwachten. Misschien zelf nog alleen bereikbaar met bepaalde IP's. Maar ja overheid houd zich meestal niet zelf aan hun advies.

[lDDQD]

Yup, iets met secure by design... Maar goed, dit gaat bijna zeker om legacy applicaties die gemaakt zijn in een tijd waarbij security optioneel was.

[Reactie gewijzigd door lDDQD op 12 oktober 2026 08:55]

[Vaevictis_]

Dan nog kun je een beveiliging ervoor zetten zodat toegang gecontroleerd mogelijk is. Met een pentest was dit zeker naar boven gekomen. Dat iets niet secure by design is is geen excuus om het niet te beveiligen.

[Honytawk]

Het is gewoon het default paswoord.
Default accounts zijn bedoeld om vervangen te worden vanaf het systeem op staat.
Dan is het dus puur de schuld van de gebruiker als die nog steeds online is.

[LigeTRy]

Depends, de meeste leveranciersinstrucies die ik voorbij zie komen zeggen iets in de richting van:

- Voor implementatie hebben we een global admin acccount nodig, MFA is niet mogelijk.

Er zit verbetering in, maar vooral bij legacy partijen blijft het ellende

[MuddyMagical]

Voor zover ik weet voldoe je in NL dan niet aan de BIO en zou de applicatie dus niet gebruikt mogen worden voor dit soort gegevens.

[LigeTRy]

Ik doelde ook niet specifiek op overheid, maar dit soort baselines/beleid zijn helaas wel een van de weinige manieren om leveranciers op het matje te roepen en/of ze erop af te wijzen.

[StackMySwitchUp]

Soms levert zo'n partij een nicheproduct of maatwerk, dan kun je heel hard gaan dreigen, maar als je hele bedrijfsvoering ervan afhangt dan houdt iedereen zn mond dicht en wordt er zo nu en dan bij een audit een verzoek gedaan tot verbetering. Pas als er daadwerkelijk een lek is dan komt dit (verplicht) aan het licht, de partij die het pakket gemaakt heeft gaat failliet en weg is je support. Ik praat het absoluut niet goed want ik heb er een bloedhekel aan, maar dit is een scenario dat ik in de afgelopen 20 jaar al zo vaak voorbij heb zien komen..

[consolefreak]

Welkom in de wondere wereld van risicoacceptaties, moet wel het risico geïdentificeerd zijn natuurlijk.

[Praetorian]

Als een handleiding in plaats van common sense dat soort wachtwoorden moet voorkomen voor privileged accounts is het voor een organisatie een dweilen met de kraan open.

[mcmd]

Nou ja, volgens mij zie je tegenwoordig op veel plekken dat makkelijke wachtwoorden niet meer gebruikt worden. Ook niet initieel. Denk bijvoorbeeld aan modems, waarbij je op de sticker het random wachtwoord terug vindt. Iets dergelijks zou normaal moeten zijn voor alle systemen, zeker voor systemen met persoonsgegevens.

[Arthur Tromp]

Je mag anders aannemen dat zo'n beheerder wel eens gebruik moet maken van dat admin account. Als je je dan nog steeds niet afvraagt of een wachtwoord als admin wel zo'n goed idee is, ben je als beheerder simpelweg geen knip voor de neus waard. Daar is geen handleiding tegen opgewassen, lijkt mij.

[Uchy]

Maar, zelfs dan, iets met 2FA? Hoe kan het nou dat zo'n belangrijk systeem zulke basics niet ingericht heeft Droevig

[Yariva]

Hacken is strafbaar en dit is gewoon fout / illegaal wat deze persoon doet.

Maaaarrrr... Een wachtwoord zoals deze anno 2026? Wanneer je hersencellen al niet zeggen "goh dit is een slecht idee" zouden verplichte wachtwoord controles dit zeker moeten opvangen! En voor zo lang in een systeem data inzien en downloaden zonder dat er een belletje af gaat is al helemaal gek. Zeker voor bijvoorbeeld een beheerders account welke dit gedrag standaard niet vertoont.

Al met al een echte blamage wat mij betreft. Hopelijk zorgt dit incident voor verbeteringen maar de schade is voor de burgers inmiddels al geschied.

[Reactie gewijzigd door Yariva op 12 oktober 2026 08:50]

[Rataplan_]

Ik schaar dit niet echt onder hacken... meer gewoon een open deur inlopen. Wat hij daarna deed is gewoon strafbaar (hier althans).

[Reactie gewijzigd door Rataplan_ op 12 oktober 2026 08:57]

[vickypollard]

Ook een huis met open deur binnenlopen is strafbaar als jij niet gewenst bent

[Rataplan_]

En je snapt precies wat ik bedoel.

[vickypollard]

Nou ja, volgens mij bedoel je te zeggen dat je het niet strafbaar acht dat deze persoon het systeem binnen is gekomen, omdat je het geen hacken vindt (want pas wat hij daarna deed vind je strafbaar). Dat je het geen hacken vindt snap ik nog wel, maar strafbaar is het bij mijn weten wel gewoon.

[The-Source]

Pure aanname maar zou ook als volgt gegaan kunnen zijn. Installatie software admin login 123456,
Volgende stap maak admin gebruiker aan: De admin stelt deze is met wel een complex wachtwoord.
Ga verder met configuratie.
etc etc
Ergens als tussendoor stap / laatste stap, disable configuratie account.
En als die stap wordt vergeten is natuurlijk gewoon slecht en had met pentesting al veel eerder naar voren moeten komen.

[Bas170]

Beginnersfout inderdaad, 132456 was een betere optie geweest.

[tijsvb]

21 dagen is erg lang dat ze zoiets niet opmerken, daar zou je toch een melding van kunnen binnenkrijgen als ict? En ze hebben daar ook een erg goed wachtwoord belijd... 👍

[lDDQD]

Ze lijden zonder wachtwoordbeleid.

[cricque]

Sorry maar velen hebben geen "dedicted" cybersecurity team zitten dat alles gaat monitoren hoor. En al zeker niet bij overheden. Dat is set & forget ... Zeker omdat ze kunnen besparen op onderhoud. Het draait al jaren, waarom tijd en geld in steken.

En zo zijn 90% van de apps die je gebruikt. Alleen de echt grote doen wat moeite. De rest is pas = hey je bent gehacked, maak mij x bitcoin over. Dan pas weten ze dat, anders not going to happen

[StackMySwitchUp]

Zou je zeggen, maar dan moet je hele beleid en omgeving al afgestemd zijn op dataloss prevention. Dat is een pittig traject, en als je al met default wachtwoorden zit dan gok ik dat deze organisatie daar nog lang niet aan toe was.

[tijsvb]

Nee idd, maar in deze tijd is dat wel zuur...

[RefriedNoodle]

Paar weken terug installeerde ik een nieuwe printer bij m'n schoonouders, en was aangenaam verrast dat de webinterface out-of-the-box beveiligd was met een wachtwoord wat a) niet standaard was maar op een gedrukte sticker achterop het apparaat stond (en er aardig random uitzag), en b) direct gewijzigd moest worden.

Dus langzaam worden er gelukkig stappen gezet richting secure-by-default principes. Zal nog wel een paar jaar duren voordat elk IT-systeem zoiets ook heeft, maar je moet ergens beginnen.

[Sine]

Dark Helmet: So the combination is... one, two, three, four, five? That's the stupidest combination I've ever heard in my life! That's the kind of thing an idiot would have on his luggage!

[Malon]

Ik vraag me af waar de legale last nu valt in deze situatie, want dit is gewoon nalatigheid langs beide kanten.

Bij de dienst of de medewerker of beide, want het mogelijkmaken van dit wachtwoord, ook al is het een legacy systeem waar het mogelijk niet mogelijk is af te dwingen is niet ok, maar als medewerker/gebruiker van deze systemen zou je ook beter moeten weten.

[all_by_myself]

Ach, ik werk inmiddels al 31 jaar in de ICT en neem van mij aan, de meeste IT afdelingen hebben heus wel in het snotje dat bepaalde zaken 'aandacht nodig hebben'. Probleem is het management daarboven (of daar weer boven) die alleen maar naar de kosten kijken en dan besluiten om zaken niet op te lossen.

Verantwoordelijkheid ligt dan op een ander niveau, tot frustratie van de daadwerkelijke ICT medewerkers.... die vervolgens wel de schuld krijgen als het fout gaat.

Het zou zoveel schelen als de managementlagen die dit soort veiligheidsissues 'downplayen' als het fout gaat op een zwarte lijst worden gezet om nooit meer aan het werk kunnen op zo'n positie. Dat maakt Nederland echt veiliger.

[Devilscomrade]

Hoe weet hij mijn wachtwoord?!

[Wailing_Banshee]

Oef, ben blij dat ik er nog een uitroepteken achter heb staan!

Maar serieus, als dit een geldig wachtwoord zou zijn, zou het wel heel slecht gesteld zijn bij dat bedrijf wat betreft security...