El incidente salió a la luz después de que los investigadores descubrieron que una pequeña empresa de TI, Pays ApS, con sede en Odense, Dinamarca, había permitido que los hackers accedieran al Registro Central de Personas (CPR) del país utilizando credenciales extremadamente débiles. Según el Copenhagen Post, al menos tres cuentas de usuario en Pays ApS – incluida la cuenta de administrador – estaban protegidas únicamente por la contraseña '123456' cuando ocurrió la intrusión. La empresa confirmó a TV 2 que su acceso legítimo al sistema CPR había sido abusado en el ataque.
Una vez dentro, los atacantes extrajeron supuestamente datos personales vinculados a alrededor de 8,8 millones de números CPR, que incluyen nombres, direcciones y números de registro de personas que viven o anteriormente estaban registradas en Dinamarca. El acceso no autorizado comenzó el 10 de septiembre y persistió durante un total de 21 días y 17 horas antes de ser detenido el 2 de octubre. El hacker le dijo a Politiken que el punto de entrada inicial provino de una contraseña filtrada perteneciente a un exempleado de otra pequeña empresa danesa, tras lo cual desarrollaron dos programas personalizados para recolectar datos CPR y almacenarlos externamente.
El experto en seguridad Jens Myrup Pedersen de la Universidad de Aarhus denunció la protección de contraseñas como 'desesperada', diciendo que una suposición como '123456' está entre los primeros intentos en cualquier ataque. A pesar de la magnitud de la exposición, el hacker afirmó que no había planes de vender o publicar la información robada. Pays ApS, que empleaba solo a dos miembros de personal a julio de 2026 según el Registro Central de Empresas de Dinamarca, ha sido posteriormente identificada como la fuente de la filtración, lo que impulsó al Ministerio de Investigación, Educación y Digitalización a ordenar una revisión de seguridad del registro CPR.