La brecha en el registro civil de Dinamarca que expuso 8,8 millones de datos usó contraseña '123456'
El registro civil de Dinamarca (CPR) sufrió una brecha que expuso datos de unos 8,8 millones de personas. El atacante no empleó técnicas sofisticadas: accedió con una cuenta de una empresa informática protegida con una de las contraseñas más inseguras, '123456'.
Cronología y magnitud del ataque
Según informa The Register, el atacante accedió al sistema el 10 de septiembre y, hasta el día 20, realizó unas 14 millones de búsquedas automáticas. El acceso no autorizado se detectó el 2 de octubre y la administración del CPR confirmó la brecha el 5 de octubre.
El comunicado oficial señaló que personas no autorizadas habían hecho un uso indebido del acceso legal de una empresa danesa, obteniendo nombres, direcciones y números CPR. La administración no identificó inicialmente a la compañía, pero después se supo, según el Copenhagen Post, que se trata de Pays ApS, cuyo director, Sophie Laursen, declaró en un correo a TV 2 que la empresa estaba implicada.
El hallazgo fue casual: un empleado del ministerio detectó la intrusión al ver una factura de Pays ApS con una actividad anormalmente alta. El atacante había operado durante al menos 12 días sin levantar alarmas.
La contraseña y el origen del compromiso
Ni Pays ApS ni la administración han confirmado oficialmente el uso de la contraseña '123456'. Sin embargo, Politiken informó de que al menos tres cuentas de la empresa, incluida una de administrador, usaban esa misma clave.
Malwarebytes añade un posible origen: un correo asociado a un antiguo empleado de Pays con la contraseña '123456' aparecía en una filtración de datos anterior. TV 2 indicó que su propia investigación coincide con esta hipótesis.
Este patrón coincide con el informe de Verizon para 2025, que señala que la forma más habitual de ejecutar filtraciones de datos se produce con contraseñas robadas, filtradas o demasiado sencillas, y que este tipo de incidentes ha aumentado de forma alarmante.
Por qué es relevante para la seguridad europea
El número CPR es el identificador personal danés, usado para acreditar identidad ante administraciones y empresas. Aunque las autoridades advierten de que no debe usarse por sí solo, su exposición facilita fraudes y suplantaciones. En España no existe un homólogo exacto: esas funciones se reparten entre el Padrón municipal, el DNI y el Registro Civil.
El caso también evidencia un fallo sistémico: Pays ApS, una empresa pequeña, tenía acceso autorizado al registro para validar clientes, pero su seguridad era deficiente. El registro danés depende de la fortaleza de cada organización autorizada, un eslabón débil que el atacante aprovechó durante semanas sin que nadie notara las 14 millones de consultas.
La filtración de datos de terceros no es un caso aislado. Que una entidad comprometida fuera una firma de servicios informáticos, donde cabría esperar buenas prácticas, subraya que la seguridad no puede depender solo de la confianza en los socios. El incidente sirve de advertencia para otros países con sistemas similares que permiten accesos externos a registros críticos.
Sigue leyendo
- ciberseguridadMicrosoft lanza Defender para escritorios Linux en vista previa pública
- ciberseguridadMeta confirma que resuelve el fallo de grabación sin permiso en sus gafas Ray-Ban, pero no explica su causa
- ciberseguridadEl ciberataque a supermercados europeos que elevó neveras a 50 grados: un mismo proveedor de refrigeración, en el punto de mira
- ciberseguridadOpenAI detecta una grabadora oculta en una sala ejecutiva y el FBI detiene a un ingeniero
