Dinamarca ha confirmado una grave filtración de datos que ha dejado expuesta información personal de aproximadamente 8,8 millones de personas, incluyendo nombres, direcciones y números de identificación CPR. El atacante que se atribuye la intrusión asegura que varias cuentas de una empresa con acceso autorizado al registro utilizaban la contraseña «123456», una de las combinaciones más habituales e inseguras.
El incidente afecta al Registro Central de Personas de Dinamarca (CPR) y se habría producido a través de Pays ApS, una pequeña empresa informática de Odense con solamente dos empleados. Según la información publicada por el periódico danés Politiken, el atacante consiguió aprovechar credenciales de acceso de la compañía, aunque todavía existen dudas sobre el procedimiento exacto utilizado.
Tres cuentas utilizaban la contraseña «123456», incluida una de administrador
El responsable del ataque explicó a Politiken que al menos tres cuentas de Pays ApS estaban protegidas con la contraseña «123456», incluyendo una con privilegios de administrador. Esta combinación lleva años apareciendo entre las contraseñas más utilizadas, pese a que su simplicidad facilita considerablemente los intentos de acceso no autorizado.
La gravedad del caso no reside únicamente en la debilidad de las credenciales, sino también en los permisos que tenía concedidos la empresa para consultar información del registro nacional. Un acceso autorizado puede convertirse en una vía de exposición de datos cuando las cuentas asociadas no están suficientemente protegidas, especialmente si alguna dispone de privilegios administrativos.
No obstante, la utilización de estas contraseñas procede del testimonio del propio atacante, por lo que no debe confundirse con una conclusión definitiva de la investigación. Algunas informaciones también apuntan a que el acceso inicial podría haberse producido mediante una contraseña filtrada perteneciente a un antiguo empleado, aunque este extremo todavía no está suficientemente esclarecido.
Las autoridades danesas confirmaron oficialmente la brecha de seguridad el 5 de octubre, mientras que Sophie Laursen, directora general de Pays ApS, reconoció el 9 de octubre que se había utilizado indebidamente el acceso de su compañía. Desde entonces, la página web de la empresa ha dejado de estar disponible, sin que se hayan aclarado públicamente todos los detalles técnicos del incidente.
El atacante realizó 14 millones de consultas y tardaron semanas en descubrirlo
La documentación obtenida por la cadena danesa TV 2 permite reconstruir parte de la actividad registrada durante el ataque. Según estos documentos, el intruso consiguió acceder al sistema el 10 de septiembre y realizó aproximadamente 14 millones de consultas automatizadas hasta el 20 de septiembre, aprovechando los permisos de acceso disponibles.
El volumen de actividad resulta especialmente significativo porque las consultas se prolongaron durante diez días sin que se detectara inmediatamente el comportamiento anómalo. La cantidad de búsquedas realizadas tampoco equivale necesariamente al número de personas afectadas, ya que un mismo registro puede consultarse varias veces durante una operación automatizada.
La actividad sospechosa no fue identificada hasta el 2 de octubre, cuando un empleado de un ministerio detectó una factura que reflejaba un número inusualmente elevado de operaciones asociadas a Pays ApS. De acuerdo con la cronología publicada por TV 2, la irregularidad se descubrió inicialmente mediante información de facturación, no durante la ejecución de las consultas.
Este detalle pone de manifiesto la importancia de supervisar cómo se utilizan los accesos legítimos a sistemas que contienen información sensible. En este caso, el atacante habría aprovechado la capacidad de consulta concedida a un tercero, mientras que el volumen extraordinario de operaciones no provocó una detección suficientemente temprana.
Los números CPR ya no pueden considerarse una prueba suficiente de identidad
Los datos comprometidos incluyen nombres, direcciones y números CPR de aproximadamente 8,8 millones de personas, una cifra que también contempla registros correspondientes a ciudadanos fallecidos y personas que se han trasladado al extranjero. Por tanto, el número de afectados no representa exclusivamente a la población que reside actualmente en Dinamarca.
Aunque el atacante asegura que no tiene intención de vender ni publicar la información obtenida, esta declaración no garantiza que los datos permanezcan protegidos. Una vez que información personal de estas características queda fuera del control de sus responsables, resulta difícil determinar qué uso podría hacerse de ella posteriormente.
La Agencia de Seguridad Pública de Dinamarca (Samsik) ya ha advertido de que un número CPR no puede considerarse por sí solo una prueba fiable para verificar la identidad de una persona. Esta advertencia adquiere especial relevancia porque los identificadores personales pueden utilizarse junto con otros datos para intentar realizar operaciones fraudulentas o suplantar identidades.
Las autoridades también recomiendan prestar atención a posibles campañas de phishing que incorporen datos personales auténticos, ya que disponer de nombres, direcciones e identificadores permite elaborar mensajes aparentemente más creíbles. El riesgo no depende únicamente de que se publiquen los registros completos, sino también de que la información pueda utilizarse para engañar a sus titulares.
Por ahora, la investigación deberá determinar cómo se obtuvo exactamente el acceso y qué medidas de seguridad fallaron. El incidente evidencia las consecuencias que puede tener una protección deficiente de las credenciales cuando estas permiten consultar bases de datos sensibles, especialmente si el sistema no identifica a tiempo un volumen de actividad extraordinario.
Vía: TechPowerUp
