Mới đây, tin tặc đã chiếm quyền tra cứu hợp pháp của Pays ApS, công ty công nghệ thông tin 2 nhân viên tại Odense, vào hệ thống đăng ký dân số quốc gia CPR của Đan Mạch. Ngày 9/10/2026, giám đốc Sophie Laursen xác nhận với kênh TV 2 rằng quyền truy cập của công ty đã bị lạm dụng.

Theo TV 2, kẻ tấn công dùng lại mật khẩu ‘123456’ của một cựu nhân viên Pays ApS, vốn từng bị lộ trong một vụ rò rỉ dữ liệu trước đó. Báo Politiken cho biết ít nhất 3 tài khoản của công ty, gồm cả tài khoản quản trị, dùng mật khẩu này. Hệ thống không chặn mật khẩu yếu và không có xác thực đa yếu tố.

Tin tặc truy cập từ ngày 10/9/2026, tổng cộng 21 ngày 17 giờ, dù hoạt động trái phép dường như dừng từ khoảng ngày 20.9. Khoảng 14 triệu lượt tra cứu đã được thực hiện, trả về dữ liệu của 8,8 triệu người, gồm khoảng 5,5 triệu người còn sống và 3,3 triệu người đã qua đời. Vụ việc chỉ bị phát hiện tối 2.10.2026, khi cơ quan CPR thấy hóa đơn tra cứu của Pays ApS lớn bất thường.

Bộ trưởng Số hóa Đan Mạch Christina Egelund thừa nhận an ninh CPR chưa đủ tốt và yêu cầu rà soát toàn hệ thống. Cơ quan CPR đã cắt quyền truy cập của Pays ApS và gửi thư siết quy định an ninh tới 1.039 doanh nghiệp có quyền tra cứu. Cảnh sát đang điều tra. Cơ quan An ninh công cộng Đan Mạch (Samsik) khuyến cáo không dùng riêng mã CPR để xác minh danh tính. Việc cấp mã CPR mới cho người dân hiện chưa có thông tin xác nhận.

Lời khuyên cho người dùng mật khẩu "123456"

‘123456’ nhiều năm đứng đầu danh sách mật khẩu phổ biến và kém an toàn nhất thế giới, thường là lựa chọn đầu tiên tin tặc thử khi dò tài khoản.

Theo NordPass, công ty cung cấp dịch vụ bảo mật và quản lý mật khẩu, đơn vị này đã tổng hợp và lọc ra danh sách 200 mật khẩu được sử dụng phổ biến nhất trong năm 2025 trên toàn cầu và tại 50 quốc gia nơi phần mềm đang hoạt động. Trong năm 2025, 123456” cũng là mật khẩu được sử dụng phổ biến nhất tại Việt Nam, với hơn 1,89 triệu tài khoản trực tuyến sử dụng. Xếp thứ 2 trong danh sách là "123456789" và thứ 3 là "12345678". 

Do đó, người dùng nên đổi ngay sang mật khẩu dài, khó đoán và không dùng chung một mật khẩu cho nhiều tài khoản. Nên dùng trình quản lý mật khẩu và bật xác thực đa yếu tố cho email, ngân hàng, mạng xã hội. Tài khoản cũ không còn dùng cũng nên được xóa hoặc khóa.

Với các tổ chức nắm dữ liệu nhạy cảm, khuyến cáo là chặn mật khẩu yếu, bắt buộc xác thực đa yếu tố, thu hồi quyền của nhân viên đã nghỉ và giám sát lưu lượng tra cứu bất thường.