Una brecha de seguridad sacudió el registro civil danés (CPR) al revelar datos de cerca de 8.8 millones de personas. El atacante, sin emplear técnicas sofisticadas, ingresó con una cuenta de la empresa informática Pays ApS cuya contraseña era la famosa “123456”, una de las más usadas y, a la vez, una de las más vulnerables.
El acceso no autorizado se registró el 10 de septiembre, y entre ese día y el 20 se ejecutaron alrededor de 14 millones de búsquedas automáticas. La intrusión quedó al descubierto el 2 de octubre, cuando la administración del CPR detectó actividades sospechosas, y el 5 de octubre confirmó públicamente la brecha. En su comunicado señaló que se habían consultado nombres, direcciones y números CPR, entre otros datos personales.
Pays ApS, la empresa involucrada, no reveló su nombre inicialmente, pero la directora Sophie Laursen confirmó su participación en un correo a TV 2. La alerta surgió cuando un empleado del Ministerio de Finanzas notó una factura de Pays con un volumen de consultas inusualmente alto. Según el diario Politiken, al menos tres cuentas de la compañía, incluida una de administrador, utilizaban la misma contraseña “123456”. Un correo de un ex‑empleado con esa clave había aparecido en filtraciones anteriores, facilitando el acceso del hacker.
El impacto de la filtración es considerable: el número CPR funciona como identificador único para trámites con autoridades y empresas, lo que lo convierte en un objetivo atractivo para fraudes y suplantaciones de identidad. En Dinamarca, el CPR es el registro de población que incluye a residentes, fallecidos y ciudadanos en el extranjero; en México, estas funciones se dividen entre el Padrón municipal, el DNI y el Registro Civil.
Este incidente se suma a una tendencia global de filtraciones impulsadas por contraseñas débiles. El informe de Verizon para 2025 muestra un aumento alarmante de brechas causadas por credenciales robadas o simples. Incluso organizaciones tecnológicas de gran renombre han sido víctimas de errores similares, lo que subraya la necesidad de políticas de contraseñas robustas y gestión de accesos estricta.
El caso evidencia que la seguridad de un sistema depende del eslabón más débil. Aunque el CPR cuenta con robustas medidas internas, la vulnerabilidad de una empresa autorizada permitió el acceso masivo. La demora de 12 días en detectar las consultas masivas plantea serias preguntas sobre los mecanismos de monitoreo y respuesta ante incidentes en instituciones críticas.
Autoridades danesas han asegurado que no tienen planes de vender o difundir la información obtenida, pero la exposición ya facilita actividades delictivas. El episodio sirve como llamado de atención para gobiernos y empresas que manejan datos sensibles, recordándoles que la protección comienza con contraseñas fuertes y una vigilancia constante.
Fuente: Xataka