La brecha de ciberseguridad en Dinamarca expone 8,8 millones de identidades por una contraseña de seis dígitos: ‘123456’.
Claves de la operación
- El registro civil danés cae por una credencial heredada. Un atacante accedió al CPR a través de una cuenta de la empresa informática Pays ApS protegida con la contraseña más usada del mundo.
- Diez días de consultas masivas sin ninguna alerta temprana. Unas 14 millones de búsquedas automáticas entre el 10 y el 20 de septiembre; la brecha se detectó al revisar una factura, no por un sistema de control.
- El coste se traslada a la economía de la identidad. Con nombre, dirección y número CPR se abren cuentas y se piden créditos, lo que golpea la confianza en los intermediarios de verificación europeos.
El intruso entró el pasado 10 de septiembre y operó durante diez días con búsquedas automatizadas: cerca de 14 millones de consultas, según los registros que maneja la administración del registro. No hubo explotación de vulnerabilidades ni herramientas avanzadas. La puerta fue una cuenta de la empresa informática Pays ApS, autorizada para validar datos de clientes, protegida con una clave que lleva años en los rankings de las más utilizadas del planeta.
La brecha se confirmó el 5 de octubre, tres días después de que un empleado del ministerio reparara en una factura de Pays ApS con una actividad anormalmente alta. Ahí saltó la alarma. Sophie Laursen, directora de la compañía, confirmó a TV 2 que el acceso comprometido era suyo; ni la empresa ni la administración han reconocido oficialmente el detalle de la contraseña, que se conoció por la prensa danesa.
Un acceso legítimo, no un asalto: la puerta de atrás del CPR
El registro civil danés concentra unos 11 millones de registros, incluidos fallecidos y residentes en el exterior. Su número, el CPR, es la llave que acredita la identidad ante administraciones y empresas. Decenas de compañías consultan esa base cada día con permiso oficial para verificar direcciones o comprobar que un cliente existe. La seguridad del registro depende, por tanto, de la higiene digital de cada organización autorizada.
Al menos tres cuentas de Pays compartían la misma clave, incluida una de administrador, según Politiken. Malwarebytes apunta al origen: un correo vinculado a un antiguo empleado aparecía con esa contraseña en una filtración anterior, algo que la propia TV 2 dice haber corroborado con su investigación. En España este identificador no tiene homólogo exacto: la identidad se reparte entre Padrón, DNI y Registro Civil.
Un registro que sostiene la identidad de todo un país no cayó por un ataque sofisticado: cayó porque tres cuentas compartían la misma clave de seis dígitos.
Las consecuencias son de naturaleza económica antes que técnica. Con nombre, dirección y número CPR se pueden abrir cuentas, solicitar créditos o redirigir correspondencia oficial. El fraude de suplantación se abarata hasta el punto de que un delincuente no necesita comprar nada en el mercado negro. Que el intruso haya asegurado a Politiken que no piensa vender ni difundir los datos no reduce el riesgo: el dato ya está fuera y no caduca.
Tres semanas sin alarma: la factura que nadie estaba mirando
El calendario delata la falla de control. Diez días de consultas masivas, hasta el 20 de septiembre. La intrusión se detectó el 2 de octubre: doce días después de la última búsqueda y sin ninguna alerta automática. Lo que rompió el silencio fue un recibo con un importe inusual, no un sistema de vigilancia.
Bajo la directiva NIS2, en vigor en Dinamarca desde hace más de un año, los proveedores digitales están obligados a monitorizar sus registros y a notificar incidentes con plazos tasados. La cadena de acceso autorizado queda, sin embargo, en un limbo cómodo: el CPR confía en en el proveedor y el proveedor confía en la contraseña de una cuenta heredada. nadie mide las consultas por usuario hasta que llega el recibo.
El negocio de la identidad digital se juega su credibilidad en el eslabón más débil
El mercado europeo de la verificación de identidad —desde Minsait, la filial tecnológica de Indra, hasta Thales o IDnow— vende precisamente lo que aquí falló: control de accesos, trazabilidad y detección de anomalías. El incidente danés no desgasta a esas compañías en su propuesta comercial, pero sí al argumento de que la identidad digital es un problema resuelto. En España, la AEPD ha reiterado que la responsabilidad del tratamiento no se externaliza: si un tercero autorizado accede a los datos, la brecha sigue siendo del responsable.
Hay un contexto que amplifica el asunto. El reglamento eIDAS 2.0 fija la cartera europea de identidad digital como estándar, con la cartera europea de identidad digital llega a finales de 2026 como horizonte de despliegue, y ese modelo multiplica los intermediarios que consultan registros públicos. Dinamarca es, además, uno de los países con mayor madurez digital del continente: su MitID es referencia en banca y administración. Si el eslabón débil cae en Copenhague, la pregunta incómoda es qué ocurriría en mercados con menos costumbre de auditar a sus proveedores.
Seguimos detectando un patrón conocido: la inversión olvida la gobernanza de las cuentas de proveedores y se concentra en el perímetro visible, ese que se puede enseñar en un comité de dirección. Cortafuegos, detección de intrusos, formación anual. Un contrato de acceso a un registro público es, en la práctica, una credencial más. Y las credenciales se heredan, se comparten y se olvidan con una facilidad que ninguna auditoría de cumplimiento captura del todo.
Queda por ver si Datatilsynet, la autoridad danesa de protección de datos, abre expediente y si el CPR revisa las condiciones de acceso de las empresas autorizadas. También si la administración publica una auditoría con el número exacto de afectados, hoy una estimación sobre 8,8 millones de personas. Mientras tanto, el sector tiene una fecha en el calendario y una lección incómoda: el eslabón más débil casi nunca está donde se mira.
