丹麦 CPR 数据泄露事件：如何管控第三方对 API 的访问

丹麦 CPR 中央人口登记系统在 2026 年 9 月被一家私营公司 Pays ApS 的合法访问权限滥用，约 1400 万次查询返回了约 880 万人的姓名、地址和 CPR 号码，占登记册约 80%。查询持续约十天，最终由计费系统在 10 月 2 日发现异常，而非监控或速率限制。事件暴露了 B2B API 的盲区：每个请求都合法，但没人按合作伙伴维度核查查询总量与命中率。