El registro central de población de Dinamarca (CPR) ha sufrido la mayor filtración de datos de su historia. La información personal de aproximadamente 8,8 millones de personas fue accedida sin autorización y la investigación apunta a un fallo que indigna tanto como sorprende: al menos tres cuentas de la empresa implicada, Pays ApS, utilizaban “123456” como contraseña. Una de ellas era de nivel administrador.
La puerta de entrada: un password de manual
Pays ApS es una empresa con sede en Odense que cuenta con permisos legítimos para consultar el CPR. Su negocio consiste, precisamente, en validar y limpiar datos de identidad para otras compañías. Ese acceso privilegiado, que debería estar protegido con los más altos estándares, estaba resguardado por la contraseña más común del mundo.
La investigación de la radiotelevisión pública danesa (DR) reveló que al menos tres cuentas de la empresa usaban “123456”. Entre ellas había una con privilegios de administrador. Además, la compañía no tenía activada la autenticación de dos factores. El experto en seguridad informática Peter Kruse fue tajante al evaluar la situación: “Si el máximo es 10, su seguridad es un 1”.
3 Semanas de acceso silencioso
El atacante no necesitó vulnerar las defensas del CPR. Le bastó con aprovechar el canal autorizado de Pays ApS. Según los documentos oficiales de la denuncia obtenidos por TV 2, el acceso no autorizado comenzó el 10 de septiembre y se prolongó durante aproximadamente 21 días y 17 horas.
En ese tiempo, se ejecutaron alrededor de 14 millones de consultas mediante scripts automatizados. El objetivo era claro: verificar y extraer números CPR válidos. Los expertos que revisaron las más de 40.000 líneas de código del ataque, presuntamente generadas por inteligencia artificial, consideraron que la descripción era “creíble”.
El programa, aunque contenía un error llamativo: buscaba personas nacidas en 1877 en lugar de 1977, lo que explica la ausencia de datos de ese último grupo en las muestras que llegaron a la prensa.
La factura que lo delató
La intrusión no se descubrió por un sistema de detección de intrusiones, sino por una factura. La Agencia del CPR tiene un mecanismo de control de consumo que vigila patrones anómalos de consulta. El elevado gasto generado por la cuenta de Pays ApS encendió las alarmas. Las autoridades danesas no detectaron y cortaron el acceso hasta el 2 de octubre, doce días después de que el atacante hubiera cesado su actividad, hacia el 20 de septiembre.
El 5 de octubre, el Ministerio de Digitalización y la Agencia de Protección de Datos confirmaron la brecha. Los datos expuestos incluyen nombres, direcciones y números CPR de unos 8,8 millones de personas. Se trata del identificador vital que los ciudadanos daneses usan para acceder a servicios sanitarios, financieros y administrativos. Las autoridades subrayaron que la información de las personas con protección de dirección no fue comprometida.
Responsabilidades y consecuencias
La directora de Pays ApS, Sophie Laursen, confirmó a TV 2 que su empresa fue la víctima del ataque y que sus credenciales legítimas fueron mal utilizadas. La investigación de DR también descubrió que la web de Pays ApS tenía publicada una página con un aspecto similar a una herramienta de verificación de CPR, archivada desde principios de 2023 y retirada tras el escándalo. La ironía es amarga: la compañía se promocionaba ofreciendo “protección de datos de primer nivel”.
El caso ha pasado a manos de la Unidad Nacional de Delitos Especiales. Un anónimo que reivindicó el ataque dijo al diario Politiken que no tenía intención de vender ni publicar los datos, una afirmación que no ha sido verificada de forma independiente.
La cerradura más fuerte con la llave más frágil
El episodio deja una conclusión incómoda: la seguridad de una base de datos de identidad nacional depende, en última instancia, de la credencial más débil de sus terceros autorizados. El CPR podía ser una fortaleza, pero cuando decenas de empresas privadas tienen permiso para consultarlo, la seguridad de cada una de esas cuentas se convierte en parte de la infraestructura crítica del Estado.
Dinamarca no carecía de supervisión. La Agencia del CPR tiene controles de consumo y la Agencia de Protección de Datos abrió una investigación. Pero la existencia de “123456” y una ventana de actividad de 21 días revelan lagunas en la auditoría real y el monitoreo continuo de los socios externos.
Para los 8,8 millones de daneses afectados, las consecuencias son graves. Su identificador vital, un dato que no se puede cambiar como una contraseña, ha quedado en manos desconocidas. Este caso vuelve a demostrar que, en la era de la identidad digital, la cadena de seguridad es tan resistente como su eslabón más débil.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
