123456 守 880 万人信息，21 天才发现
123456 守 880 万人信息，21 天才发现
你有没有过这种时刻——半夜刷到一条新闻，揉揉眼睛以为自己看错了。
10 月 9 日，《Politiken》《哥本哈根邮报》几乎同时给科技圈投下一颗不大不小的石子：丹麦的国家民事登记系统 CPR，被一个匿名黑客访问了 21 天 17 小时，直到 10 月 2 日才被发现。880 万个 CPR 编号被拷走——这相当于把丹麦几乎所有活着的人、加上最近几十年里曾在丹麦生活过的人，都摊在了盗走的那个人面前。
你没看错。丹麦一个人口约 590 万的国家，被偷走的是 880 万人的数据。
而打开这扇门的钥匙，只是一串六个数字：123456。
这不是段子，也不是哪个不入流的小网站被脱裤。是一家有 CPR 系统合法查询权限的丹麦小公司 Pays ApS（位于欧登塞，全公司 2 名员工），至少三个账户用了「123456」当密码，其中一个还是管理员账户。
你读到这儿，是不是下意识打开了手机银行、邮箱、某个工作后台，想看看自己的密码是什么？——你不是一个人。这大概是这条新闻最近两天刷屏的原因：它戳中的是每个人心里那个「我好像也没好到哪儿去」的角落。
一、事情到底是怎么发生的
我们先把时间线拉清楚，因为它比你想象的更「平淡无奇」。
- 9 月 10 日——黑客开始登录 Pays ApS 的账户，进入丹麦 CPR 系统。入口是 Pays 一位前员工此前在另一处泄露的密码。Pays 没有强制改密，也没有启用第二步验证（2FA），于是这个已经泄露的密码，依然像一把没换锁的钥匙一样好用。
- 9 月 10 日—10 月 2 日——黑客在 CPR 系统里待了 21 天 17 小时，期间大约执行了 1400 万次 CPR 查询，把姓名、地址、CPR 编号（丹麦的"身份证号"）、家庭关系、 citizenship 等信息一条条拷了出来。
- 10 月 2 日——系统被发现。Pays ApS 总经理 Sophie Laursen 给 TV 2 发了邮件确认：「我们可以确认我们就是那家被攻击的公司，黑客滥用了我们依法获得的 CPR 查询权限。」
- 10 月 9 日——黑客主动联系丹麦媒体 Politiken，自称做了这件事，并把自己拷出来的 CPR 编号清单发给了报社作为「证据」。他说他不打算卖掉，也不会公开，只是「想让大家知道这事有多荒唐」。
- 10 月 10 日——IT 之家、奇客 Solidot 等中文媒体跟进，把这条「123456」故事送上首页。
黑客自己打了个比方：「这就像有人在火车站丢下一个装满十公斤钚的行李箱，然后一个流浪汉把它顺走了。」「是的，顺走行李箱当然不对。但你也不该把核材料落在火车站啊。」
奥胡斯大学电气与计算机工程系教授延斯·米鲁普·彼得森（Jens Myrup Pedersen）的评价更直接：「这简直是没有任何安全保障，等同于为黑客敞开大门。如果你拿着密码词典，那 123456 绝对是最先尝试的密码之一。我很难想象还能有比这更糟糕的安全措施，出事不过是时间问题罢了。」
而丹麦研究、教育与数字化部长 Christina Egelund 不得不公开承认：围绕 CPR 系统的安全保障**「一直不够好」**。
事情就是这么发生的。没有勒索软件团伙，没有 0day 漏洞，没有高级持续性威胁（APT），甚至谈不上任何"黑客技术"。就六个数字。
二、CPR 是什么，为什么 880 万这个数字让人头皮发麻
CPR（Det Centrale Personregister）是丹麦的中央民事登记系统，1968 年就建好了，是世界上最早一批数字化的国家级人口登记库之一。
它里面装的是什么？——你的姓名、地址、家庭关系、citizenship、CPR 编号（等同于身份证号），以及你在丹麦和几乎所有公共部门打交道时都会被用到的"主键"。
丹麦的税务账单、医疗记录、养老金、社保、银行开户、驾照、买房、租房、办手机卡……几乎每一次和国家的交互都从 CPR 这个入口走。
换句话说：CPR 不是一个数据库，它是丹麦国家的"操作系统"。
所以 880 万这个数字才让人头皮发麻——这不是「一家公司被黑了」的故事，这是「一个国家的操作系统被人在里面逛了三个礼拜」的故事。
而打开这扇门的，是一个全公司只有2 个员工的小 IT 公司，2026 年 7 月丹麦中央商业登记册（CVR）上就这么写着。它合法持有 CPR 查询权限——因为它的业务需要去验证客户地址。
这种「权限分发」模式，是丹麦、也是很多欧洲国家长期以来的做法：把国家级数据库的查询权限，按业务需要发给几百家、上千家小公司。这些公司有大有小，但绝大多数人手都不多、安全预算都不高、员工培训都不够。
黑客根本不需要攻破丹麦国家系统。他只需要找到这几百家公司里最薄弱的那家。
而 Pays ApS，恰好把最薄弱这件事，做到了极致。
三、为什么是「123456」——这六个数字到底意味着什么
我猜你看到「123456」的时候，第一反应不是愤怒，而是某种苦涩的熟悉感。
我们都有过这种时刻：注册一个新网站，系统提示「请设置密码」，你下意识打了六个数字，浏览器自动保存，从此再也没改过。你知道这样不对，但你心里另一个声音说：「反正就是个不重要的网站，谁会来偷我？」
Pays ApS 的员工大概也是这么想的。只不过他们守着的不是「不重要的小网站」，而是整个丹麦的身份证库。
奥胡斯大学教授彼得森的原话是：「如果你拿着密码词典，那 123456 绝对是最先尝试的密码之一。」这句话翻译一下就是：这不是黑客技术，这是字典攻击的入门题。
一个公开的密码强度排行榜（NordPass/SplashData 每年都发）里，123456 常年盘踞前三。和它并排的是「password」「12345678」「qwerty」「abc123」「111111」「iloveyou」——这些你大概率用过，或者你父母正在用，或者你公司某个内部系统现在就在用。
SplashData 历年「最烂密码」排行榜前十，几乎十年不变。这意味着什么？意味着全球几十亿人的安全习惯，分布在大致同一组口令上。黑客不需要创新，他们只需要把这张清单做成自动化脚本，一行行试下去。
而丹麦的 CPR 系统，正好被一个连这张清单都不屑于做第二层防护的小公司，给撬开了。
四、事情为什么「读起来像一种模式」
把这件事放到 2026 年这个时间点上看，你会发现它不是孤例。
- 2024 年 12 月——美国电信巨头 T-Mobile 披露一起泄露，影响约 370 万客户。
- 2025 年 5 月——英国杜伦郡议会遭勒索软件攻击，20 年来积累的儿童领养档案外泄。
- 2026 年 2 月——某大型连锁酒店集团承认 1300 万住客护照号被窃，源头是一家合作清洗公司的弱口令。
- 2026 年 10 月——丹麦 CPR。
你看出模式了吗？被攻破的几乎都不是"中心"，而是"边缘"。 加密算法没被破、操作系统没被破、网关没被破——破的是某个边缘小公司一个被泄露过、还没改、还没启用 2FA 的密码。
这正是安全行业里反复讲的一句话：凭证复用（credential reuse）是攻破防御最便宜的方式。 攻击者根本不需要破密码学，他们只需要一份来自别处的泄露名单，然后看看其中有没有还能用的。如果能用，又没有第二步验证，那这次"入侵"在系统看来，就是一次普通的登录。
丹麦的模式——把国家级数据库的查询权限分发给几百家小公司——把这种风险均匀地撒在了每一个边缘上。中心再坚固，也补偿不了一个边缘上的烂密码。
五、事情结束后，每个人其实可以做几件事
我不想用"大家一定要吸取教训"这种话来收尾。教训谁都懂，做不做得到是另一回事。但这件事之后，有几件真的只要 10 分钟就能做完的事，我想留给你：
- 今天就去检查你最重要的 3 个账户——邮箱、银行、工作后台——密码是不是那种「全键盘从左到右扫一遍」就能猜出来的（123456、password、qwerty、111111、abc123、iloveyou、姓名+生日）。如果是，今天就改。
- 打开第二步验证（2FA / 验证器 App / 硬件密钥）——这件事的好处是：哪怕你的密码再次泄露，黑客没有那 30 秒刷新的验证码也进不去。这一步比"换个复杂密码"重要得多。
- 清理你那些"半死不活"的账户——你 2019 年注册的那个小众网站、那个只用过一次的购物平台、那个已经卸载 App 的服务。它们可能早就被脱裤了，而你根本不知道。每多一个这样的账户，就多一个可能拖累你其他账户的雷。
- 把"密码管理器"这件事认真做一次——你可以用 1Password、Bitwarden、Apple 钥匙串、Google 密码管理器、甚至纸笔。重点不是工具，是你从此只记一个主密码，其他都是随机生成、每个网站都不一样的那种。
- 告诉你爸妈、告诉你家人：他们微信支付、支付宝、社保、医保账户的密码是什么，他们大概率答不上来，或者答上来的就是那串六个数字。这件事你今天不问，下一次出事的时候全家一起买单。
写在最后
丹麦的 Pays ApS 是一家真实存在的小公司。总经理 Sophie Laursen 事后也只能承认：「我们被攻击了，黑客滥用我们依法获得的 CPR 查询权限。」
她没说"我们会负责"。她也没法负责——880 万人的数据已经在外面了。
这件事最后没有惊天反转，没有黑客被捕，没有大规模诈骗潮——至少目前没有。黑客自己说「不打算卖，也不打算公开」，Politiken 找了多位专家验证了他给的数据清单，专家说「他说的应该是真的」。
但这件事之后，每个读到的人大概都会做一个动作：下意识打开手机银行、邮箱、某个工作后台，想看看自己的密码是什么。
这就够了。
因为丹麦 CPR 这个故事真正刺痛的，不是"一个遥远国家的数据被偷了"，而是**「我是不是也差不多？」**——我用的密码是不是太简单、我公司那个内部系统是不是就靠一个 123456 在撑着、我的 2FA 是不是从来没开过、我的家人是不是正在用一串我都能猜出来的数字守着自己的全部身家。
国家安全和你的安全感之间，往往就隔着六个数字。
而这六个数字，这一次，真的没拦住任何人。