Recientemente, se ha producido una brecha significativa en el registro civil danés, conocido como CPR, donde un atacante obtuvo acceso a datos de aproximadamente 8,8 millones de personas. El acceso se logró utilizando una contraseña común y vulnerable, “123456”, que pertenecía a una cuenta de una empresa de tecnología. Aunque el atacante no tiene la intención de vender o filtrar los datos, el incidente plantea serias preocupaciones sobre la seguridad de la información personal.
El acceso no autorizado sucedió el 10 de septiembre y se realizaron hasta 14 millones de búsquedas automáticas antes de que la actividad fuera detectada el 2 de octubre. La administración del CPR confirmó el incidente el 5 de octubre, señalando que la violación implicaba el uso indebido de datos personales como nombres y direcciones. Aunque el nombre de la empresa implicada no fue mencionado inicialmente, luego se reveló que se trataba de Pays ApS.
El ataque se descubrió cuando un empleado del ministerio notó una factura de la compañía con un volumen de actividad inusual. Según informes, al menos tres cuentas de Pays utilizaban la misma contraseña, lo que pone en evidencia la falta de buenas prácticas de seguridad. Además, se ha indicado que una dirección de correo asociada a un antiguo empleado de Pays fue parte de una filtración previa.
Los datos comprometidos aumentan el riesgo de fraude y suplantación de identidad, ya que el número CPR es un identificador personal clave en Dinamarca. Este tipo de filtraciones no son incidentes aislados; se ha observado un crecimiento alarmante en la exposición de datos sensibles debido a contraseñas débiles o comprometidas.
El CPR contiene registros de aproximadamente 11 millones de personas, incluyendo a aquellas que han fallecido o viven en el extranjero. La seguridad de este registro depende, en gran medida, de las medidas de protección adoptadas por las organizaciones que tienen acceso autorizado. Este ataque subraya que la integridad de un sistema puede verse comprometida por el “eslabón más débil”.
Finalmente, la existencia de 14 millones de consultas durante un periodo de tres semanas sin que se detectaran plantea serias dudas sobre las alertas de seguridad en las empresas. Este incidente debe servir como un recordatorio sobre la importancia de la ciberseguridad y la vigilancia en el manejo de datos personales.