調査の結果、デンマークのオーデンセに本拠を置く小規模IT企業Pays ApSが、極めて脆弱な認証情報を使って国家の中央人口登録簿(CPR)へのハッカーのアクセスを許していたことが明らかになった。コペンハーゲン・ポストによれば、Pays ApSのユーザーアカウント少なくとも3つ（管理者アカウントを含む）は、侵入が発生した際にパスワード『123456』のみで保護されていた。同社はTV 2に対し、CPRシステムへの正当なアクセスが今回の攻撃で悪用されたと確認した。

侵入後、攻撃者は個人データを抽出したと伝えられている。これらのデータは約880万件のCPR番号に関連し、デンマークに居住しているか、かつて登録されていた人の名前、住所、登録番号をカバーする。不正アクセスは9月10日に始まり、合計21日17時間続いた後、10月2日に停止された。ハッカーはPolitikenに対し、最初の足がかりは別の小規模デンマーク企業の元従業員から漏洩したパスワードであり、それに続いて2つのカスタムプログラムを作成し、CPRデータを収集して外部に保存したと語った。

オーフス大学のセキュリティ専門家Jens Myrup Pedersen氏は、このパスワード保護を『絶望的』だと非難し、『123456』のような推測はどの攻撃でも最初に試されるものだと述べた。規模の大きなデータ漏洩にもかかわらず、ハッカーは盗まれた情報を販売または公開する予定はないと主張した。デンマーク中央企業登録所によれば、従業員がわずか2人しかいないPays ApSは、2026年7月時点においてこの侵入の元凶として特定され、これにより研究・教育・デジタル化省はCPR登録簿のセキュリティ見直しを命じた。