Qué pasó
El 5 de octubre de 2026, el gobierno de Dinamarca reveló una de las mayores filtraciones de datos de la historia del país. Personas no autorizadas obtuvieron nombres, direcciones y números CPR (el número de identificación personal danés) de unas 8,8 millones de personas del Registro Central de Personas (CPR). La cifra incluye vivos, fallecidos y emigrados; el registro tiene unos 11 millones de entradas.
El detalle clave: nadie hackeó el sistema en el sentido clásico. Los atacantes abusaron del acceso legal de una pequeña empresa danesa autorizada a consultar el CPR.
Cómo se hizo
- Según la ley danesa (sección 38 de la Ley del CPR), las empresas con interés legítimo pueden consultar datos de personas que ya han identificado individualmente. Un número CPR basta para ello.
- Durante unos 10 días de septiembre, la cuenta de esa empresa hizo más de 14 millones de intentos de consulta, probando números CPR de forma masiva. Unos 8,8 millones devolvieron un registro.
- Cada consulta por separado estaba dentro de los permisos. El problema era el volumen: más de un millón al día, muy por encima de cualquier necesidad comercial plausible.
- Las personas con protección de nombre y dirección no tuvieron esos datos expuestos.
Cómo se descubrió: por la factura
Las empresas pagan por cada consulta. Según las autoridades en rueda de prensa el día 6, la anomalía apareció la noche del viernes 2 de octubre, cuando la administración del CPR fue a facturar a la empresa y vio un importe enorme. Es decir, la monitorización de seguridad no detectó el abuso; lo detectó la facturación.
Respuesta
- Se cortó el acceso de la empresa, que no ha sido identificada públicamente.
- El caso se comunicó a Datatilsynet (autoridad de protección de datos) y la policía investiga con autoridades de otros países. Hasta el día 6 no había nadie identificado ni acusado.
- La ministra Christina Egelund ordenó una revisión completa de seguridad del CPR. Aún es pronto para saber si habrá nuevos números CPR.
- Los sistemas que usan MitID (el inicio de sesión digital nacional), como sanidad, no se vieron afectados.
- La agencia de protección civil afirmó que el número CPR ya no puede usarse por sí solo para identificar a alguien. Los organismos públicos añadieron preguntas extra en la atención telefónica.
El riesgo ahora
Con nombre, dirección y número de identificación, los estafadores pueden sonar muy convincentes por teléfono y correo. El gobierno advirtió: nunca facilite contraseñas ni datos confidenciales a quien llame o escriba, aunque ya conozca su nombre, dirección y CPR.
Lecciones para cualquier empresa
- El acceso legítimo también es superficie de ataque. Las cuentas de socios y las API de pago necesitan límites de volumen y alertas.
- Vigile anomalías de uso, no solo intrusiones. Un millón de consultas al día debería disparar la alarma el primer día.
- No use identificadores públicos como prueba de identidad. Un número de documento no es una contraseña; vale para el DNI, el CPF brasileño o el My Number japonés.
- Revise los contratos de acceso a datos de terceros: finalidad, volumen esperado y auditoría.
Fuentes
- Ministerio danés de Investigación, Educación y Digitalización (5/10/2026): https://fudm.dk/aktuelt/pressemeddelelser/2026/oktober/omfattende-uautoriseret-adgang-til-borgeres-cpr-oplysninger/
- The Hacker News: https://thehackernews.com/2026/10/denmark-says-attackers-accessed-cpr.html
- The Next Web: https://thenextweb.com/news/denmark-cpr-breach-8-8-million-records
- CSIS Security Group: https://www.csis.com/csis-tech-blog/the-hub/cpr-breach-denmark
¿Quiere revisar cómo socios y API acceden a los datos de su empresa? KGA IT ofrece una consulta gratuita: kga-it.com.