Dinamarca investiga un acceso no autorizado a nombres, direcciones y números de identificación de unos 8,8 millones de personas inscritas en su Registro Central de Personas, conocido como CPR. Las autoridades confirmaron el incidente el 5 de octubre de 2026 y explicaron que se aprovechó el permiso de consulta de una empresa privada.
La cobertura posterior añadió un detalle que ha concentrado la atención: el supuesto atacante asegura que utilizó una cuenta protegida con la contraseña «123456». Ese dato procede de declaraciones y reportes periodísticos; no figura como una conclusión confirmada en el comunicado oficial.
Un acceso autorizado utilizado por terceros
El Gobierno informó que suspendió el acceso de la empresa y que la policía investiga el caso. La ministra Christina Egelund también solicitó una revisión de seguridad del sistema.
La cifra de afectados incluye personas fallecidas y otras que se trasladaron al extranjero. El registro contenía alrededor de 11 millones de personas, según la comunicación oficial. La revisión inicial no encontró exposición de nombres y direcciones de quienes tenían activada su protección.
Millones de consultas antes de la detección
The Register, citando documentos obtenidos por la cadena danesa TV 2, informó que se realizaron unos 14 millones de búsquedas automáticas entre el 10 y el 20 de septiembre. La actividad se detectó el 2 de octubre, después de que una factura con un volumen inusual de consultas llamara la atención de un empleado del ministerio.
La directora de Pays ApS confirmó que el acceso aprovechado pertenecía a esa empresa. Según Politiken, al menos tres de sus cuentas, incluida una de administrador, compartían la contraseña «123456». The Register señaló que ni la compañía ni el Gobierno habían respondido a sus preguntas sobre ese detalle.
Lee también: Banco Mundial impulsa una IA pequeña y adaptada a los países en desarrollo.
Lo confirmado es un acceso masivo a información personal. Eso no equivale a que el registro fuera borrado ni permite afirmar que se extrajeran todos los datos que contiene.
El riesgo de que un fraude parezca legítimo
La autoridad danesa de protección de datos, Datatilsynet, advierte que conocer el nombre, la dirección o el número de identidad de una persona puede hacer más convincente un mensaje fraudulento. Esa información no demuestra que quien llama o escribe represente realmente a un banco o una institución.
El organismo recomienda verificar los contactos inesperados por canales oficiales y no entregar contraseñas, códigos PIN ni datos de tarjetas bajo presión. También recuerda que un número CPR no debe tratarse por sí solo como una credencial secreta.
El caso pone bajo examen tanto la protección de las cuentas de proveedores como la capacidad para detectar consultas anormales. Una contraseña débil sería una parte del problema; el volumen y la duración de la actividad obligan a revisar también los controles sobre el uso de los accesos concedidos.
Fuentes: comunicado del Gobierno danés, reporte de The Register y orientación de Datatilsynet.
[…] Dinamarca investiga el acceso a datos de 8,8 millones de personas a través de una empresa privada […]