Alguien ha entrado al registro civil danés (CPR) y ha obtenido datos de unos 8,8 millones de personas. Y al parecer, no necesitó sofisticadas técnicas de ataque para llegar hasta allí: simplemente accedió con una cuenta de una empresa informática protegida con una de las contraseñas más usadas a lo largo de los años y sin embargo, una de las más inseguras: "123456". La buena noticia para la ciudadanía danesa es que no pretende vender ni filtrar los datos, según declaró a Politiken.

Crónica de un ataque. El atacante accedió el 10 de septiembre y, hasta el día 20, lanzó unos 14 millones de búsquedas automáticas, como explica The Register. El acceso no autorizado se detectó el 2 de octubre y la administración del CPR confirmó la brecha el 5 de octubre.

En su comunicado explicaba que personas no autorizadas habían accedido, haciendo un uso indebido del acceso legal de una empresa danesa, a nombres, direcciones y números CPR, entre otros datos. La administración danesa no ofreció el nombre de la empresa en cuestión, pero ese dato lo conocimos después: Sophie Laursen, directora de la compañía Pays ApS, lo declaraba en un email enviado a TV 2, según informa el Copenhagen Post. El ataque se detectó precisamente porque un empleado del ministerio vio una factura de Pays ApS con una actividad anormalmente alta.

Y ojo: según Politiken, al menos tres cuentas de la empresa, incluida una de administrador, usaban esa misma contraseña. Ni la compañía ni la administración han confirmado lo de la contraseña. Malwarebytes añade cómo pudo llegar a manos del atacante: un correo asociado a un antiguo empleado de Pays con la clave “123456” aparecía en una filtración de datos anterior, algo que, según TV 2, coincide con su propia investigación.

Por qué importa. Porque los datos expuestos facilitan enormemente los fraudes y las suplantaciones de identidad. El CPR (Det Centrale Personregister) es el registro de población danés, y el número CPR es el identificador personal que se usa para acreditar la identidad ante administraciones y empresas, aunque las autoridades ya advierten de que no debe usarse por sí solo con ese fin.

En España no existe un homólogo exacto, ya que sus funciones se reparten en tres registros: la residencia y el domicilio, en el Padrón municipal; la identidad, en el DNI de la Policía; y el estado civil, en el Registro Civil. Además, porque no es algo aislado: las filtraciones de datos de terceros han aumentado de forma alarmante según el informe de Verizon para 2025 y la forma más habitual de ejecutarlos se produce con contraseñas robadas o filtradas (o en su defecto, facilísimas). Y ocurre hasta en las mejores familias, porque como dice el refrán, "en casa del herrero, cuchillo de palo" que le pasa hasta a Microsoft.

Pays ApS es una empresa informática pequeña, y su sector hacía esperar buenas prácticas, como contraseñas robustas y únicas, pero la realidad parece haber sido otra. El eslabón más débil. El registro civil danés alberga unos 11 millones de registros, porque incluye a personas fallecidas y a quienes viven en el extranjero.

Muchas empresas, entre ellas Pays, pueden consultarlo con permiso de la administración para, por ejemplo, validar los registros de sus clientes, según The Register. De ahí que la seguridad del registro dependa en parte de la de cada organización autorizada. En pocas palabras, un sistema es tan seguro como su eslabón más débil.

Tres semanas de puertas abiertas. De este ataque hay dos cuestiones que deberían hacer saltar todas las alarmas en Dinamarca y por extensión (cuando veas las barbas del vecino cortar...) de otros países independientemente de cuál fuera la contraseña. El primero está claro: el atacante no rompió el sistema, sino que se coló a través de un acceso legítimo.

El segundo es más alarmante: nadie reparó en las 14 millones de consultas hasta que llegó una factura con un importe inusual. La intrusión se detectó 12 días después de la última búsqueda. ¿Cómo es posible que se produjeran tantas consultas durante días sin que nadie se diera cuenta?

Imagen | Zuoranyi