Una intrusión digital en el CPR, el registro central de población de Dinamarca, ha dejado expuesta la información personal de aproximadamente 8,8 millones de personas. El incidente, que no requirió técnicas de ataque avanzadas, se ejecutó mediante el uso de credenciales de acceso de una empresa externa protegidas con la clave «123456», una de las combinaciones más vulnerables y utilizadas, según reportó Malwarebytes.
Cronología de una vulnerabilidad
El acceso no autorizado comenzó el 10 de septiembre y se prolongó hasta el día 20, periodo en el cual el atacante realizó cerca de 14 millones de búsquedas automáticas, tal como explica The Register. La administración del registro confirmó la brecha el 5 de octubre, tras detectar la intrusión el día 2 de ese mismo mes. La alerta se activó debido a una factura con actividad inusualmente alta emitida por la empresa Pays ApS, cuya directora, Sophie Laursen, reconoció el incidente en comunicaciones a medios locales, según informa el Copenhagen Post.
Fallos en la vigilancia de accesos
Investigaciones posteriores, según declaró a Politiken, sugieren que al menos tres cuentas de la firma informática, incluida una de administrador, compartían la misma contraseña débil. Este tipo de incidentes refuerza la tendencia global sobre la inseguridad de los datos de terceros, un fenómeno que ha registrado un aumento alarmante, según el informe de Verizon para 2025. La falta de detección temprana de las 14 millones de consultas durante el lapso de tres semanas plantea serias interrogantes sobre los protocolos de monitoreo de las instituciones públicas frente a sus colaboradores externos.
