Dinamarca sufre una brecha de datos tras usar la contraseña más insegura

El 10 de septiembre, un atacante logró acceder al registro civil danés (CPR) y obtuvo datos de 8,8 millones de personas. El acceso se realizó con una cuenta de una empresa informática protegida con la contraseña más usada y menos segura: «123456». La brecha no implicó la venta ni filtración de la información, según declaró a Politiken.

Detección y confirmación de la brecha

El acceso no autorizado se detectó el 2 de octubre cuando un empleado del ministerio notó una factura de la empresa Pays ApS con una actividad anormalmente alta. La administración del CPR confirmó la brecha el 5 de octubre, explicando que personas no autorizadas habían usado el acceso legal de una empresa danesa para obtener nombres, direcciones y números CPR, entre otros datos.

La empresa implicada y la contraseña

La compañía en cuestión es Pays ApS, dirigida por Sophie Laursen. Según un correo enviado a TV 2, al menos tres cuentas de la empresa, incluida una de administrador, usaban la contraseña «123456». Ni la compañía ni la administración han confirmado oficialmente esta información, aunque Malwarebytes indica que un correo asociado a un antiguo empleado de Pays con esa clave apareció en una filtración previa.

Alcance de las búsquedas

Durante los diez días entre el 10 y el 20 de septiembre, el atacante lanzó unas 14 millones de búsquedas automáticas en el CPR. El registro civil danés alberga unos 11 millones de registros, incluyendo a personas fallecidas y a quienes viven en el extranjero. Muchas empresas, entre ellas Pays, pueden consultarlo con permiso de la administración para validar los registros de sus clientes.

Implicaciones de la filtración

Los datos expuestos facilitan enormemente los fraudes y las suplantaciones de identidad. El CPR, equivalente al número de identidad en Dinamarca, se utiliza para acreditar la identidad ante administraciones y empresas. En España, funciones similares se reparten entre el Padrón municipal, el DNI y el Registro Civil.

Lecciones para la seguridad de datos

El ataque demuestra que un sistema es tan seguro como su eslabón más débil. El atacante no rompió el sistema, sino que se coló a través de un acceso legítimo. Además, la intrusión no se detectó hasta 12 días después de la última búsqueda, lo que indica una falta de supervisión continua. El informe de Verizon para 2025 señala que las filtraciones de datos de terceros están en aumento, y la forma más habitual de ejecutarlas es con contraseñas robadas o filtradas.

En resumen, la brecha del CPR destaca la necesidad de contraseñas robustas y únicas, incluso en empresas pequeñas. La detección tardía y la dependencia de la seguridad de terceros subrayan la importancia de una vigilancia constante y de políticas de acceso más estrictas para proteger datos sensibles a nivel nacional.