调查发现，位于丹麦欧登塞的小型IT公司 Pays ApS 由于使用极弱的凭证，使黑客能够访问该国的中央人登记系统（CPR）。据哥本哈根邮报报道，Pays ApS 的至少三个用户账户——包括管理员账户——在入侵时仅受密码 '123456' 保护。该公司向 TV 2 确认，其对 CPR 系统的合法访问在此次攻击中被滥用。

攻击者进入后据称窃取了与约880万CPR编号相关的个人数据，这些数据涵盖居住或曾在丹麦注册者的姓名、地址和登记号。未经授权的访问始于9月10日，持续了总共21天17小时，直至10月2日被阻止。黑客向Politiken透露，最初的立足点来源于另一家小型丹麦公司前员工泄露的密码，此后他们开发了两个自定义程序来收集CPR数据并将其存储到外部。

奥胡斯大学安全专家 Jens Myrup Pedersen 将此密码保护称为'毫无希望'，指出像'123456'这样的猜测是在任何攻击中首先尝试的。尽管此次泄露规模巨大，黑客声称并无出售或发布被窃取信息的计划。根据丹麦中央企业登记册，Pays ApS 在2026年7月仅有两名员工，此后被确认为泄露源头，促使研究、教育和数字化部下令对CPR登记册进行安全审查。