製品 Lemma API証明の発行・検証の基盤Trust402エージェントに任せ、取引するSeal鍵を渡さない、エージェント時代のサインイン
ユースケース 製造・基幹インフラ検査記録アシュアランス金融・FinTech取引先レコード検証自治体・公共証明書レス手続き医療・ヘルスケア有資格者アシュアランス調達・サプライチェーン仕入先資格モニタリングメディア・コンテンツコンテンツ真正性サービス・小売グループ横断アイデンティティAI導入（業種横断）AI実行ガバナンス開発者・エージェント運用エージェント権限統制 ▸ 業界別ソリューション索引を見る
料金
リソース Critical BriefAI×信頼の最前線ブログ考え方と実装の記録ドキュメントAPI と仕様書検証センター検証・発行の実数運営会社FRAME00, Inc.お問い合わせ導入・取材のご相談用語集言葉の定義FAQよくある質問
始める ↗ EN
ホーム / Critical Brief / No. 152
No. 152 Pillar 04 · 規制属性証明

デンマーク CPR：民間企業 1 社の正規の照会権限が悪用され、約 880 万人分の氏名・住所・CPR 番号が引き出された(デンマーク研究・教育・デジタル化省発表)

照会の権限はあっても、照会のたびに対象が許された範囲かを確かめる層が無い

KYC / AML 開示 認証・認可
事案日
2026-10-05
公開日
2026-10-14
発行
Lemma Critical Team
関連 Pack
Pack B · Regulatory

TL;DR

デンマークの研究・教育・デジタル化省（FUDM）は 2026 年 10 月 5 日、民間企業 1 社に正規に与えられた CPR（中央人口登録）の照会権限が悪用され、約 880 万人分の氏名・住所・CPR 番号などが引き出されたと公表した。CPR システムへの侵入ではなく、企業の正規の照会権限を通じた検索である。民間企業が受け取れるのは事前に一人ずつ特定した人の範囲に限られるが、CPR の管理機関は、照会件数が企業の顧客の範囲を大きく超えるとしている（報道）。返った記録は、登録約 1,100 万件の約 8 割にあたる。検出は、照会が終わった後の請求で効いた。効かなかったのは、照会のたびに、その対象が許された範囲に収まっているかを独立に確かめる層である。

何が起きたか

  • システム: CPR（Det Centrale Personregister）。デンマークの住民登録で、現在約 1,100 万人が登録されている。国内居住者に加え、死亡者や国外転出者も含む。
  • 民間企業の照会権限: CPR 法第 38 条により、正当な利益を持つ民間企業は、CPR から情報の提供を受けられる。対象は、企業が事前に一人ずつ（個人番号、生年月日と氏名、または氏名と住所で）特定した、より大きな、ただし限定された範囲の人である。加えて、企業はデータ保護規則（GDPR）とデータ保護法の下で情報を受け取る資格を持つ必要がある。受け取れる情報の種類は同条第 2 項で定められている。
  • 何が起きたか: 権限のない者（uvedkommende）が、デンマーク企業 1 社の正規の照会権限を悪用して CPR を検索し、約 880 万人分の氏名・住所・CPR 番号などを手に入れた。照会は、民間企業がアクセスできる情報の範囲内で行われたと FUDM は説明している。
  • 対象: 約 880 万人。生存者・国外転出者・死亡者などを含む。氏名・住所の保護を登録した人については、氏名と住所は含まれていない。
  • 手口: 当局は公表していない。CPR の管理機関はデータ保護庁への届出で、企業は自ら照会していないと述べており、企業の IT が侵害されたとみられるとしている（TV 2 が開示請求で入手）。実行者を名乗る人物は、元従業員のパスワードを使ったと現地紙 Politiken に主張しているが、検証されていない。
  • 企業: 当局は企業名を公表していない。同社は報道機関の取材に、自社の照会権限が悪用されたことを認めている。実行者は特定されていない。

事案は次の連鎖で成立している。

  1. 民間企業 1 社が、CPR 法第 38 条に基づく照会権限を正規に持っていた。
  2. 権限のない者が、その企業の権限を使って CPR を検索した。
  3. 照会は民間企業が受け取れる情報の種類の範囲で実行され、約 880 万人分の記録が返った。
  4. 10 月 2 日の夜、CPR の管理機関が、請求処理で 9 月中の不規則な動きに気づいた。

時系列 — 公表と対応

  • 2026-09-10 ごろ: 企業の照会権限を通じたアクセスが始まる（TV 2 が開示請求で入手した文書による）。
  • 2026-09-20 ごろ: アクセスが止まる。管理機関の届出は、予備的な調査ではこの日に終わったとみられるとしている（同）。
  • 2026-10-02（金）夜: CPR の管理機関が、請求処理で 9 月中の不規則な動きに気づく。企業のアクセスは同日停止された（同）。週末のうちに、約 880 万人分への不正なアクセスと判明した。
  • 2026-10-03（土）夜: 国家特殊犯罪対策ユニット（NSK）の捜査官が企業を訪れ、証拠を保全した（TNW）。
  • 2026-10-05（月）: FUDM と CPR の管理機関が公表。企業のアクセスは停止済みで、データ保護庁（Datatilsynet）に届け出たとした。
  • 2026-10-06（火）: 当局者が記者会見で、照会の試行は 1,400 万件を大きく超え、うち約 880 万件で記録が返ったこと、存在しない CPR 番号も照会できるため試行の件数が膨らみうること、気づいた契機は企業への請求だったことを説明した（TV 2）。

本件の事実関係は、FUDM と CPR 管理機関の公式発表に拠る。照会の期間と件数、発覚の契機、届出の内容は公式の書面には無く、記者会見での当局者の説明と、TV 2 が開示請求で入手した文書を、TV 2 が報じたものである。NSK が土曜夜に企業を訪れたことは TNW の記述による。FUDM は、今後の調査で具体的な情報が修正されうるとしている。

公表後の対応は次のとおり。

  • 捜査: 警察が関係機関と捜査している。捜査は初期段階にあり、誰が関与したかは現時点で言えないとしている。報道によれば、特定・起訴された者はおらず、他国の警察とも連絡を取っている。
  • 再発防止とレビュー: FUDM は、同様の事案を防ぐ措置をすでに始めたとし、大臣が CPR 全体の詳細な安全性レビューを指示した。報道によれば、期限は示されていない。また 10 月 9 日、CPR に接続できる 1,039 社に、セキュリティ責任者の設置など安全規則の徹底を求める書簡を送った（報道）。
  • 市民への注意喚起: 相手が氏名・住所・CPR 番号を知っているように見えても、電話やメールでパスワードや機密情報を教えないよう呼びかけた。
  • CPR 番号の扱い: 報道によれば、市民安全庁（Styrelsen for Samfundssikkerhed）の長官が、企業や当局に、CPR 番号だけを本人確認の根拠にしないよう求めた。

なぜ止まらなかったか

この事案は、CPR システムへの侵入ではない。企業側で権限がどう奪われたかも、当局は公表していない。失敗は、公表された範囲で見る限り、正規に付与された照会権限が、照会のたびに、その対象が許された範囲に収まっているかを確かめられないまま使われたことにある。

CPR 法は、民間企業に無制限の照会を許していない。受け取れるのは、企業が事前に一人ずつ特定した、限定された範囲の人の情報である。それでも、登録約 1,100 万件のうち約 880 万人分が返った。生存者だけでなく、死亡者や国外転出者も含む。管理機関は届出で、照会の件数が企業の顧客の範囲を大きく超えると記しており、記者会見では、存在しない CPR 番号も照会できると説明された。照会の対象を、付与の時点で認められた範囲と照らし合わせる仕組みは、公表された範囲では示されていない。権限の奪われ方がどうであれ、照会の対象が範囲内かを問う層があれば、引き出せる範囲は限られた。

検出は、遅れて効いた。管理機関は請求処理で異常に気づき、週末のうちに規模を確定した。ただし報道によれば、照会は 9 月 20 日ごろには止まっており、気づいたのはその約 12 日後だった。アクセスの停止、捜査、1,039 社への書簡、システム全体のレビューは必要だが、いずれも照会が実行された後に働くか、照会する側の管理を厚くするものである。CPR 番号だけで本人確認をしないよう求める警告も、すでに引き出された識別子の使い道を減らすものであり、引き出される時点を守るものではない。

同じ構造は、これまでの Brief にも現れている。Revolut では、国の認証メール網から届いた開示要求に、要求者の権限が確かめられないまま数か月にわたり応じた。阿波銀行では、開発・テストという目的を終えた環境が別の用途で使われ続け、顧客データを持ち続けてよいかが確かめ直されなかった。いずれも、経路や環境が正規であることが、使われる時点の正当性の確認に置き換わっている。

「金曜の夜の請求処理で、非常に、非常に大きな金額が請求されたことで、9 月中に非常に大きな動きがあったと気づいた、と確認できる」——FUDM の局長級（afdelingschef）Mikkel Leihardt（TV 2）

証明があれば、何が変わるか

民間企業による CPR の照会そのものは、法律が認めた正当な仕組みであり、やめる必要はない。事前証明が経路に一段挟まるとすれば、それは照会の権限の有無ではなく、「この照会の対象は、この企業が事前に特定した範囲に入っているか」を、記録が返る前に確かめる一段である。

Lemma がこの落差に対して提示する設計は次の通りである。

  • 許された範囲を、照会の条件にする：CPR の管理機関は、付与の時点で、正当な利益・受け取れる情報の種類・申告された顧客数に見合う上限を、企業に対する許可の証明として発行する。企業は、自社が事前に特定した顧客の集合をコミットメントとして登録し、その更新は照会とは別の認証を経て行う。照会のたびに、対象がその集合に含まれることと、件数が上限内であることを、記録を返す前に検証する。集合の外の番号や存在しない番号は、この時点で返らない。
  • 範囲の外の照会は、返す前に止める：登録された集合に無い個人への照会や、申告した上限を超える件数の照会は、記録を返す前に差し止める。請求の時点ではなく、照会の時点で止まる。
  • 照会ごとの記録を、照会する側とは別に残す：どの許可の証明に基づいて、誰の何が返ったかを、照会する側の操作とは別の記録として残し、後から監査できるようにする。

事後の検出との違いはここにある。検出は、請求額や不規則な動きから、照会が行われた後に気づく。証明は、照会の対象が許された範囲かを、記録が返る前に問う。検出の層と、この層は代替ではなく補完の関係にある。

注：証明が示すのは、照会が登録された範囲に収まっていることまでである。範囲の中で目的外に使われる場合や、集合の登録の手順そのものが乗っ取られた場合は、通ってしまう。

Sources

「AI時代のサイバー防衛に残された、最後の層」Pillar 04 — 規制属性

当局は企業名を公表しておらず、実行者は本Brief執筆時点で特定されていない。照会の期間と件数、発覚の契機、届出の内容は報道によるもので、公式の書面には記載がない。

本資料は公開情報の構造化分析であり、特定組織への監査・診断・推奨ではありません。

この Brief を引用する

Lemma Critical Team. (2026).
"デンマーク CPR：民間企業 1 社の正規の照会権限が悪用され、約 880 万人分の氏名・住所・CPR 番号が引き出された(デンマーク研究・教育・デジタル化省発表) — 照会の権限はあっても、照会のたびに対象が許された範囲かを確かめる層が無い".
Lemma Critical Brief No.152. Lemma / FRAME00, Inc.
https://lemma.frame00.com/ja/critical/briefs/152-denmark-cpr-lawful-access-misuse/
関連する BriefRelated
No. 149 Revolut：イタリア政府の認証メール網から届いた開示要求に応じ、数か月にわたり顧客データを渡し続けた(PEC・伊検察が捜査中) KYC / AML 開示 No. 126 FCA が Starling Bank を £29m 制裁：自動サンクション照合は、2017 年以降ずっと制裁リストの一部としか突き合わせていなかった KYC / AML 開示 No. 093 A7A5：ルーブル建てステーブルコインが制裁下で累計 $110B を流した KYC / AML 開示
Lemma

確かめられないものを、
業務に入れない。

Lemma は、データや AI の実行に暗号技術で証明を付け、受け取った側が発行者に問い合わせることなく真正性を確認できるようにします。検出はそのままに、その前段へ一層を足す構成です。

エンタープライズ相談 検証センターを見る