Hackers roban datos de 8.8 millones de personas del registro civil danés usando el acceso de una empresa
Los atacantes aprovecharon el acceso legal de una empresa privada al Registro Central de Personas para hacer consultas automatizadas durante unos 10 días. Se expusieron nombres, domicilios y números de identificación de 80% de los registros.
El Registro Central de Personas (CPR) de Dinamarca confirmó una filtración que expuso datos de 8.8 millones de personas, cerca de 80% de sus 11 millones de registros. Los atacantes no rompieron directamente el sistema del gobierno: usaron el acceso legal de una empresa privada danesa para hacer consultas automatizadas durante unos 10 días de septiembre.
Qué datos se expusieron
La información incluye nombres, domicilios y números CPR, el identificador personal que combina fecha de nacimiento y un número consecutivo, y que funciona como el equivalente danés a un número de seguridad social. La ley de Dinamarca permite que empresas con interés legítimo, como bancos o aseguradoras, consulten datos específicos del registro. Los atacantes aprovecharon esa puerta con un volumen muy alto de búsquedas para identificar números válidos.
El incidente se detectó al revisar comportamiento anormal en el sistema y se confirmó durante un fin de semana. El ministerio de Digitalización lo hizo público el 5 de octubre. Las personas con protección de nombre y domicilio no resultaron afectadas.
Respuesta del gobierno
El CPR canceló de inmediato el acceso de la empresa, notificó a la Agencia de Protección de Datos y abrió investigaciones con la policía. La ministra de Digitalización, Christina Egelund, admitió que los resguardos sobre este tipo de acceso no eran lo bastante sólidos y pidió una revisión integral de seguridad. Las autoridades no han revelado cómo se comprometieron los sistemas de la empresa, si los datos se conservaron ni quiénes están detrás.
El gobierno recomendó desconfiar de mensajes no solicitados, no abrir enlaces inesperados, no compartir credenciales de MitID, la identidad digital nacional, y activar alertas de crédito en el portal borger.dk.
Qué significa para empresas
El caso exhibe un riesgo que suele quedar fuera de los análisis: el de los terceros con acceso legítimo a bases de datos sensibles. Para empresas que consultan registros oficiales, burós de crédito o padrones, la lección es vigilar volúmenes y patrones de consulta, limitar permisos al mínimo necesario y auditar a proveedores. En México, donde bancos, financieras y fintech se conectan a fuentes como el RENAPO o el SAT para validar identidades, una filtración de este tipo alimentaría directamente el robo de identidad y el fraude financiero.
Fuentes
Publicado el 7 de octubre de 2026.
