O que aconteceu
Em 5 de outubro de 2026, o governo da Dinamarca revelou um dos maiores vazamentos de dados da história do país. Pessoas não autorizadas obtiveram nomes, endereços e números CPR (o número de identificação pessoal dinamarquês) de cerca de 8,8 milhões de pessoas registradas no Registro Central de Pessoas (CPR). O total inclui vivos, mortos e emigrados; o registro tem cerca de 11 milhões de entradas.
O detalhe mais importante: ninguém invadiu o sistema no sentido clássico. Os atacantes abusaram do acesso legal de uma pequena empresa dinamarquesa, que tinha permissão para consultar o CPR.
Como foi feito
- Pela lei dinamarquesa (seção 38 da Lei do CPR), empresas com interesse legítimo podem consultar dados de pessoas que já identificaram individualmente. Um número CPR sozinho basta para isso.
- Durante cerca de 10 dias em setembro, a conta dessa empresa fez mais de 14 milhões de tentativas de consulta, testando números CPR em massa. Cerca de 8,8 milhões retornaram um registro.
- Cada consulta isolada estava dentro das permissões. O problema era o volume: mais de um milhão por dia, algo muito acima de qualquer necessidade comercial plausível.
- Pessoas com proteção de nome e endereço não tiveram esses dados expostos.
Como foi descoberto: pela fatura
As empresas pagam por cada consulta. Segundo autoridades em coletiva no dia 6, a anomalia apareceu na noite de sexta, 2 de outubro, quando a administração do CPR foi faturar a empresa e viu um valor enorme. Ou seja, o monitoramento de segurança não detectou o abuso; o setor de cobrança detectou.
Resposta
- O acesso da empresa foi cortado; a empresa não foi identificada publicamente.
- O caso foi comunicado à Datatilsynet (autoridade de proteção de dados), e a polícia investiga com autoridades de outros países. Até o dia 6, ninguém havia sido identificado ou acusado.
- A ministra Christina Egelund ordenou uma revisão completa de segurança do CPR. Ainda é cedo para dizer se haverá novos números CPR.
- Sistemas que usam o MitID (login digital nacional), como saúde, não foram afetados.
- A agência de proteção civil afirmou que o número CPR não pode mais ser usado sozinho para confirmar a identidade de alguém. Órgãos públicos adicionaram perguntas extras no atendimento telefônico.
O risco agora
Com nome, endereço e número de identificação em mãos, golpistas conseguem soar muito convincentes em ligações e e-mails. O governo alertou: nunca forneça senhas ou dados confidenciais a quem liga ou escreve, mesmo que a pessoa já saiba seu nome, endereço e CPR.
Lições para qualquer empresa
- Acesso legítimo também é superfície de ataque. Contas de parceiros e APIs pagas precisam de limites de volume e alertas.
- Monitore anomalias de uso, não só invasões. Um milhão de consultas por dia deveria disparar alarme no primeiro dia.
- Não use identificadores públicos como prova de identidade. Número de documento não é senha; isso vale para CPF no Brasil e My Number no Japão.
- Revise contratos de acesso a dados de terceiros: finalidade, volume esperado e auditoria.
Fontes
- Ministério de Pesquisa, Educação e Digitalização da Dinamarca (5/10/2026): https://fudm.dk/aktuelt/pressemeddelelser/2026/oktober/omfattende-uautoriseret-adgang-til-borgeres-cpr-oplysninger/
- The Hacker News: https://thehackernews.com/2026/10/denmark-says-attackers-accessed-cpr.html
- The Next Web: https://thenextweb.com/news/denmark-cpr-breach-8-8-million-records
- CSIS Security Group: https://www.csis.com/csis-tech-blog/the-hub/cpr-breach-denmark
Quer revisar como parceiros e APIs acessam os dados da sua empresa? A KGA IT oferece uma consulta gratuita: kga-it.com.