据报道，攻击者从丹麦CPR人口登记系统中窃取了约800万人的记录，而他们的作案方式与数字本身同样重要。丹麦CPR数据泄露引发的VPN讨论很有意义，因为这起事件恰好揭示了VPN保护止步于何处。

丹麦CPR泄露事件经过

根据来源中概述的报道，黑客从持有公民信息的丹麦政府数据库中窃取了记录。据报道，入侵发生在9月，但直到10月2日才被发现。从被攻陷到被发现之间的这段间隔，是大型数据泄露事件中反复出现的主题：攻击者在系统内活动了一段时间，才有人注意到。

来源将被盗数据描述为与CPR系统相关的记录，CPR是丹麦的中央民事登记数据库。搜索结果中收录的其他报道引用了略高的数字——880万人，并提到姓名、地址和CPR号码。由于各报道数字不同，请将“约800万”视为大致规模，而非最终数字。诸如具体哪些字段被窃取等细节，应向丹麦当局的官方声明核实。

合法访问如何成为攻击路径

最引人注目的细节是攻击者不需要什么。据来源称，无需巧妙的零日漏洞。相反，他们滥用了丹麦一家公司对CPR系统的合法访问权限。换句话说，这扇门是设计上就开着的：某些私营企业被允许出于合法目的查询该登记系统，而据报道，攻击者找到了利用这一权限的方法。

这与占据安全新闻头条的软件漏洞故事是不同类别的风险。当漏洞被利用时，修复方法是打补丁。当合法访问被滥用时，弱点在于谁被信任、这种信任如何被监控，以及异常活动被多快发现。承包商的凭证或集成接口成为整条链条中最薄弱的一环，而这条链条包括政府数据库本身。

这也提醒人们，持有敏感数据的组织在如何保护数据方面面临切实的监管压力。印度的DPDP法案处罚，罚款最高可达25亿卢比，就是立法者试图让收集数据的组织为糟糕的数据处理承担经济后果的一个例子。

丹麦CPR数据泄露与VPN的局限：为什么加密触及不到这里

VPN会加密你的设备与VPN服务器之间的流量，并向你访问的网站隐藏你的IP地址。这在公共Wi-Fi环境下很有用，也有助于限制互联网服务提供商或网站对你的一些追踪。但它无法触及政府或其承包商运营的数据库。

在本案中，个人数据存储在一个国家登记系统中。你并没有通过一条你可以保护的连接发送它；它早已存在，与你的身份绑定，并与拥有合法访问权限的组织共享。你的手机或笔记本电脑上没有任何消费级工具，能挡在那个数据库与利用受信任方权限的攻击者之间。

这并不是反对使用VPN的理由，而是主张理解VPN的适用范围。VPN保护的是从你的设备出发的在途数据。它无法保护由他人持有、存储并授予访问权限的数据。

这对你意味着什么

如果你住在丹麦，请留意关于你的记录是否受到影响的官方通知，并对那些使用你的姓名、地址或个人身份证号码的意外信息保持警惕。这类记录对具有说服力的钓鱼攻击很有用，因为发送者似乎知道你是谁。AI驱动诈骗的兴起使这一问题更加紧迫；最近一项关于AI钓鱼和深度伪造超越企业防御的调查显示了定向攻击正变得多么具有说服力。

如果你住在其他地方，这一教训同样适用。许多国家都维护中央登记系统，许多服务要求你提交身份信息。你通常无法选择退出国家登记系统，但你可以决定向公司和平台额外提供多少数据。

注重隐私的用户仍能掌控什么

你无法保护别人的数据库，但你可以减少自己的多少生活信息最终集中在一处：

  • 默认少分享。 只提供服务严格需要的详细信息，跳过可选字段。
  • 对上传身份证件三思。 身份证件和生物特征数据一旦泄露，是最难替换的。 Mercor泄露事件暴露了生物特征和身份证件，是敏感数据从第三方而非提供者本人处泄露的类似案例。
  • 警惕强制验证。 诸如欧盟的社交媒体起始年龄计划等提案，将要求平台验证用户年龄，这引发了更多身份数据最终流入更多地方的问题。
  • 将个人身份证号码视为敏感信息。 不要随意分享，并对任何引用你的号码来证明其合法性的人保持怀疑。
  • 回应前先核实。 如果某条信息提到了你的个人信息，请通过你自己找到的官方渠道联系该组织。

关键要点

丹麦CPR数据泄露的VPN教训很简单：VPN是保护你连接的好工具，但它无法保护政府及其授权企业持有的记录。在这起事件中，据报道攻击路径是滥用合法访问权限，而非技术漏洞利用，而且泄露从9月一直未被发现，直到10月2日。

在有用之处使用VPN，但也要从一开始就限制你交出的信息。审视哪些服务持有你的身份证件，避免不必要的上传，并对那些似乎对你了解过多的信息保持警觉。存放在第三方系统中的敏感数据越少，当其中一个系统出问题时，损失就越小。