Danimarka CPR sızıntısı: 8 milyon kimlik kaydı

5 Ekim 2026’da küresel manşete oturan ama Eylül’de gerçekleşip 2 Ekim’de fark edildiği belirtilen olay: Danimarka hükümeti, Central Person Register (CPR) veritabanından yaklaşık 8 milyon vatandaş / sakin kaydının çalındığını doğruladı. İsim, adres, sosyal güvenlik numarası ve ilgili kimlik alanları etkilenmiş durumda. Ülke nüfusu ~6 milyon; sicil tarihsel kayıtlarla ~11 milyon kişiye kadar uzanabiliyor — bu yüzden “8 milyon” rakamı nüfustan büyük görünebiliyor.

Anlatılan giriş vektörü klasik dış pentest deliği değil: yasal olarak CPR sorgulama yetkisi olan bir Danimarka şirketinin erişiminin suistimali. Faili kamuoyuna açıklanmadı; bakanlık olayı “ciddi” diye nitelendirdi. Benzer ölçekte ulusal kimlik sızıntıları geçmişte başka ülkelerde de görüldü; desen tekrar ediyor.

Veri yönetimi checklist’i (KVKK / benzeri rejimler için de geçerli):

1. Üçüncü taraf sorgularında amaç bağlama + oran limiti + anomali alarmı 2. Toplu export / tarama davranışını ayrı risk sınıfı say 3. Minimum veri: iş için gerekmeyen alanları API yanıtından çıkar 4. Yetkili şirketlerin erişim log’unu kendi SIEM’inde değil, merkezi tut 5. İhlal bildirimi ve vatandaş iletişimi için önceden şablon hazırla

Sonuç: Ekim siber gündemi yalnızca appliance CVE’si değil. Meşru erişimin kötüye kullanımı, ulusal ölçekte en pahalı senaryolardan biri.