Mot de passe 123456 : comment 8,8 millions de dossiers danois ont fui par un petit fournisseur
Le 5 octobre, l’administration du registre central des personnes du Danemark (CPR) a confirmé une fuite touchant les noms, adresses et numéros CPR, l’équivalent danois du numéro d’assurance sociale, d’environ 8,8 millions de personnes, vivantes, décédées ou parties à l’étranger. Le pirate n’a pas forcé le registre. Il a utilisé l’accès légitime d’une petite entreprise de logiciels d’Odense, Pays ApS, autorisée à consulter le registre pour valider les dossiers de ses clients. Et selon le quotidien Politiken, au moins trois comptes de cette entreprise, dont le compte administrateur, utilisaient le mot de passe 123456.
La plus grande fuite de l’histoire du Danemark tient donc à un petit fournisseur, à un compte « partenaire » et à six chiffres. C’est exactement le genre de maillon que l’on trouve aussi dans une PME d’ici.
22 jours entre la première connexion et l’alarme
Chronologie de l’accès frauduleux (septembre–octobre 2026)
Sources : documents obtenus par TV 2 et DR, communiqué du ministère danois de la Recherche, de l’Éducation et du Numérique. Berlingske évoque un accès de 21 jours et 17 heures au total.
Le détail le plus frappant : ce n’est ni un antivirus ni une alerte de sécurité qui a donné l’alarme, mais un employé du CPR qui a remarqué une facture anormalement élevée pour cette entreprise. Le registre a été avisé le 2 octobre, l’autorité danoise de protection des données le 4, et le public le 5. Le 9 octobre, la directrice de Pays a confirmé que l’accès de son entreprise avait été détourné. La police enquête ; personne n’a été accusé à ce jour.
Les 5 serrures qui manquaient sur le mot de passe 123456
Un mot de passe faible n’explique pas tout. Pour que l’attaque réussisse et dure, il fallait que plusieurs protections manquent en même temps.
Les comptes « clés » de votre PME : faites l’inventaire
Pays avait un accès privilégié à une base de données bien plus grande qu’elle. Votre entreprise aussi possède des comptes qui ouvrent des portes importantes : celles de vos employés, de vos clients, du gouvernement ou de vos partenaires. Imprimez ce tableau et remplissez-le avec votre équipe, une ligne par compte.
| Compte | Ce qu’il ouvre | Qui l’utilise? | AMF activée? | Mot de passe unique? | Alerte en cas d’usage anormal? |
|---|---|---|---|---|---|
| Compte administrateur Microsoft 365 ou Google Workspace | Tous les courriels, fichiers et comptes des employés | ☐ Oui ☐ Non |
☐ Oui ☐ Non |
☐ Oui ☐ Non |
|
| Portail gouvernemental (ClicSÉQUR, Mon dossier pour les entreprises) | Dossiers fiscaux, paie, remises de taxes | ☐ Oui ☐ Non |
☐ Oui ☐ Non |
☐ Oui ☐ Non |
|
| Service de paie en ligne | NAS, adresses et salaires de tous les employés | ☐ Oui ☐ Non |
☐ Oui ☐ Non |
☐ Oui ☐ Non |
|
| Registraire de noms de domaine | Votre site web et la réception de vos courriels | ☐ Oui ☐ Non |
☐ Oui ☐ Non |
☐ Oui ☐ Non |
|
| Portail d’un client ou d’un fournisseur | Les données de quelqu’un d’autre (comme Pays avec le registre CPR) | ☐ Oui ☐ Non |
☐ Oui ☐ Non |
☐ Oui ☐ Non |
|
| Logiciel de gestion ou CRM infonuagique | Fiches clients, soumissions, historique | ☐ Oui ☐ Non |
☐ Oui ☐ Non |
☐ Oui ☐ Non |
Chaque « Non » est une serrure manquante. Commencez par les comptes qui donnent accès aux données de quelqu’un d’autre : ce sont ceux dont une fuite coûte le plus cher, en argent comme en réputation.
Du pire au meilleur : l’échelle des mots de passe
Où se situent vos comptes?
123456Le mot de passe le plus courant au monde : il fait partie des premiers essais de n’importe quel outil de piratage.Laval2026!Semble complexe, mais suit un modèle (ville + année + symbole) que les outils testent très tôt.tulipe-garage-orbite-siropUne phrase de passe longue et aléatoire : solide, à condition de ne l’utiliser nulle part ailleurs.gestionnaire + AMFUn mot de passe unique par compte, et un deuxième facteur : un mot de passe volé ne suffit plus.clé d'accès (passkey)Rien à taper, rien à se faire voler par hameçonnage : la meilleure option quand le service l’offre.Dans Microsoft 365, la liste de mots de passe interdits de Microsoft Entra bloque déjà les plus courants, à commencer par le mot de passe 123456. Encore faut-il que l’AMF soit activée pour tout le monde, y compris le compte « de service » que personne n’utilise plus vraiment.
⚖️ Et la Loi 25 dans tout ça?
Au Québec, l’accès non autorisé à des renseignements personnels est un incident de confidentialité. Vous devez l’inscrire à votre registre des incidents et, s’il y a un risque de préjudice sérieux, aviser la Commission d’accès à l’information et les personnes concernées. Si c’est votre fournisseur qui est en cause, vos obligations demeurent : d’où l’importance de prévoir les mesures de sécurité dans le contrat.
Le CPR danois rappelle aussi un réflexe utile ici : ne donnez jamais un mot de passe au téléphone ou par courriel, même si votre interlocuteur connaît déjà votre nom, votre adresse et votre numéro. Les données volées servent souvent à rendre les arnaques plus crédibles.
5 gestes à faire cette semaine
- Remplissez l’inventaire ci-dessus, en notant qui est responsable de chaque compte.
- Activez l’AMF partout, en commençant par les comptes administrateurs et les accès aux portails gouvernementaux et bancaires.
- Adoptez un gestionnaire de mots de passe d’entreprise et remplacez tout mot de passe partagé ou réutilisé.
- Vérifiez vos adresses dans les fuites connues, par exemple avec le service gratuit Have I Been Pwned, et changez immédiatement tout mot de passe exposé.
- Mettez des alertes d’usage : connexions inhabituelles, téléchargements massifs, factures qui grimpent. Une surveillance proactive de vos systèmes repère ce genre d’anomalie en heures plutôt qu’en semaines.
Pour aller plus loin : notre grille pour noter la sécurité de vos fournisseurs, l’article sur l’hameçonnage qui contourne l’AMF et nos services de cybersécurité et services Microsoft 365.
Réservez votre Bilan cyber gratuit
En 30 minutes, on passe en revue vos comptes « clés », l’AMF, les mots de passe partagés et les alertes en place, et vous repartez avec une liste de priorités claire. Gratuit et sans engagement.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Ministère danois de la Recherche, de l’Éducation et du Numérique — Accès non autorisé de grande ampleur aux données CPR des citoyens (octobre 2026, en danois)
- The Register — ‘123456’ password linked to Denmark data breach affecting 8.8M people (13 octobre 2026, en anglais)
- DR Nyheder — Une entreprise de Fionie au centre d’une fuite massive de données CPR (9 octobre 2026, en danois)
- Berlingske / Ritzau — Trois profils de l’entreprise utilisaient le code « 123456 » (9 octobre 2026, en danois)
Photo : Dan Nelson, Pexels (licence Pexels).