La filtración, ocurrida en septiembre de 2026 y detectada por las autoridades semanas más tarde, afecta a nombres, direcciones y números de identificación personal. Los datos comprometidos pertenecen tanto a residentes actuales como a ciudadanos que emigraron y personas fallecidas.
Una empresa privada, utilizada para acceder al registro nacional
El incidente se produjo mediante el uso indebido de las credenciales de una compañía danesa que disponía de autorización para consultar el CPR.
Este registro, creado en 1968, constituye una pieza esencial de la administración pública danesa. Contiene información sobre identidad, domicilio, fecha de nacimiento y estado civil, además del número CPR, utilizado para identificar a las personas en numerosos procedimientos administrativos.
La base de datos reúne alrededor de 11 millones de registros históricos. Por tanto, los 8,8 millones afectados representan aproximadamente el 80% de las personas incluidas en el sistema.
La Agencia Danesa de Protección de Datos ha señalado que los responsables utilizaron un procedimiento automatizado para identificar números CPR válidos y recuperar la información asociada.
Las investigaciones también examinan cómo pudo realizarse un volumen extraordinario de consultas sin que los mecanismos de vigilancia detectaran inmediatamente la actividad sospechosa.
La contraseña 123456, bajo investigación
Uno de los aspectos más llamativos del caso es la posible utilización de una contraseña extremadamente sencilla.
Una persona que asegura estar detrás del ataque afirmó al periódico danés Politiken que consiguió acceder al sistema mediante la combinación 123456, supuestamente utilizada por la empresa privada autorizada.
Sin embargo, las autoridades danesas no han confirmado públicamente esta versión ni han determinado si el incidente fue obra de una sola persona.
La hipótesis pone de relieve los riesgos derivados de conceder acceso a información especialmente sensible a proveedores externos sin controles suficientemente estrictos.
Entre las medidas habituales para reducir estos riesgos figuran la autenticación multifactor, la limitación de consultas y la detección automática de accesos anómalos.
Las autoridades bloquean el acceso e investigan el ataque
La administración responsable del CPR tuvo conocimiento de la actividad irregular el 2 de octubre. Durante los días siguientes se evaluó el alcance de la extracción de información.
Tras identificar la empresa utilizada como vía de entrada, se suspendieron sus permisos de acceso al registro.
La Policía danesa abrió una investigación para determinar quién realizó las consultas, cómo obtuvo las credenciales y qué destino pudieron tener los datos.
“Se trata de un incidente extremadamente grave, por lo que también he informado al Comité de Asuntos y Digitalización del Parlamento”, declaró la ministra de Investigación, Educación y Digitalización, Christina Egelund. “Junto con todas las autoridades pertinentes, estamos trabajando para establecer la magnitud total del incidente”, añadió.
El Gobierno también anunció medidas adicionales para reforzar la protección del sistema y evitar que una situación semejante vuelva a producirse.
El robo de identidad, entre los principales riesgos
La exposición de números CPR resulta especialmente preocupante porque estos identificadores se utilizan habitualmente en las relaciones de los ciudadanos con organismos públicos y entidades privadas.
Disponer de un nombre, una dirección y un identificador auténtico facilita la preparación de campañas de suplantación de identidad.
Los delincuentes podrían aprovechar esa información para enviar mensajes aparentemente legítimos, hacerse pasar por instituciones o intentar obtener contraseñas y datos bancarios mediante engaños.
No obstante, la filtración de estos datos no significa, por sí sola, que los atacantes puedan acceder directamente a cuentas bancarias o servicios digitales protegidos mediante sistemas adicionales de autenticación.
Las autoridades han habilitado asistencia específica para las personas potencialmente afectadas, incluida una línea de ayuda sobre ciberseguridad y recursos de orientación digital.
El Gobierno danés recomienda extremar las precauciones ante llamadas, mensajes y correos electrónicos no solicitados, especialmente cuando sus remitentes aseguren representar a instituciones oficiales.
“A raíz del incidente, se recuerda a todos que nunca revelen contraseñas u otra información confidencial en respuesta a llamadas telefónicas, correos electrónicos u comunicaciones similares”, advirtió el comunicado oficial.
Deja un comentario