Por Canuto  

Una contraseña débil habría permitido abusar del acceso de una empresa al registro nacional de Dinamarca, en una brecha que alcanzó información de 8,8 millones de personas. La investigación también intenta aclarar cómo se realizaron 14 millones de búsquedas automatizadas antes de que una factura alertara a un empleado.
***

  • El Gobierno danés confirmó que el acceso indebido afectó información de 8,8 millones de personas.
  • Medios locales reportaron que tres cuentas de una empresa de TI, incluida una de administrador, usaban la contraseña «123456».
  • El acceso habría ocurrido entre el 10 y el 20 de septiembre; una actividad inusual en una factura contribuyó a detectar la intrusión el 2 de octubre.

Contraseña «123456» habría facilitado una brecha de datos en el registro nacional de Dinamarca

Una persona que afirma ser responsable del acceso indebido al Registro Central de Personas de Dinamarca dijo que entró al sistema mediante una cuenta de una empresa de tecnología protegida con la contraseña «123456». La administración del registro confirmó que la brecha involucró información perteneciente a 8,8 millones de personas, mientras medios daneses reportaron que al menos tres cuentas empresariales, incluida una de administrador, habrían usado esa misma clave.

El incidente no se atribuye a una falla de acceso público al sistema, sino al abuso de permisos que una empresa tenía de manera legítima para prestar servicios. Esa diferencia es central para entender el caso: el registro autorizaba a Pays ApS a consultar datos para validar registros de clientes empresariales, pero el Gobierno afirmó que ese acceso autorizado fue aprovechado indebidamente.

Una brecha vinculada a credenciales débiles

La persona que dice haber realizado la intrusión aseguró a Politiken que no pretendía vender ni filtrar los datos. Esa declaración corresponde al relato del presunto responsable y no altera el alcance informado por las autoridades: la información de 8,8 millones de personas resultó involucrada en el incidente.

Según el periódico danés, tres cuentas de la empresa, entre ellas una con privilegios de administrador, compartían la contraseña «123456». El medio que publicó la investigación no confirmó por su cuenta esos detalles: Pays ApS no respondió a su solicitud de información sobre las afirmaciones relacionadas con las credenciales.

El caso muestra por qué una contraseña sencilla puede ser especialmente peligrosa cuando protege cuentas con permisos para acceder a sistemas que contienen datos sensibles. Si varias cuentas comparten una clave, una sola exposición potencial puede comprometer más de un punto de entrada; el reporte, sin embargo, no ofrece detalles técnicos sobre el método exacto que habría utilizado el intruso.

La brecha también pone el foco en la gestión de accesos de terceros. Pays ApS contaba con autorización para consultar el CPR con el fin de ofrecer servicios de validación de registros de clientes empresariales, pero las autoridades danesas indicaron que el acceso legal de una compañía al sistema fue abusado.

El acceso y las consultas automatizadas

Documentos obtenidos por TV 2 indican que el acceso al sistema comenzó el 10 de septiembre y que, entre esa fecha y el 20 de septiembre, se realizaron 14 millones de búsquedas automatizadas. Esa cifra se refiere a consultas, no necesariamente a personas únicas, por lo que no debe confundirse con los 8,8 millones de individuos cuya información quedó involucrada en la brecha.

La diferencia entre ambas cantidades ayuda a dimensionar la actividad reportada, aunque la información disponible no detalla qué datos se consultaron en cada búsqueda ni cuántas consultas correspondieron a una misma persona. El Gobierno no respondió a las preguntas sobre las supuestas deficiencias en las contraseñas, de modo que ese punto permanece vinculado a los reportes de medios locales y a las declaraciones atribuidas al presunto intruso.

La intrusión se detectó el 2 de octubre, doce días después de las últimas búsquedas registradas en esos documentos. De acuerdo con la explicación oficial, un empleado del departamento notó una factura que reflejaba una actividad inusualmente alta de Pays y esa anomalía llevó a descubrir el problema.

La secuencia descrita deja una cuestión operativa relevante: la señal que llevó al hallazgo fue una factura asociada a un volumen de actividad inusual, no una alerta de seguridad mencionada públicamente. La información difundida no precisa si hubo otras señales previas ni qué controles técnicos estaban activos, por lo que no permite concluir por qué las consultas no provocaron una detección más temprana.

Alcance de la información y respuesta oficial

La administración del CPR confirmó la brecha el 5 de octubre y señaló que los datos relacionados con 8,8 millones de personas habían sido objeto de acceso. Reportes sobre el incidente describen entre la información expuesta nombres, domicilios y números CPR, aunque no ofrecen un desglose que permita asociar esos datos con cada una de las búsquedas realizadas.

El registro contiene aproximadamente 11 millones de entradas, incluidos registros de personas fallecidas y de quienes se mudaron al extranjero, por lo que la cifra total de registros no equivale al número de personas afectadas que comunicó el Gobierno.

La autoridad danesa de protección de datos, Datatilsynet, recibió la notificación el 4 de octubre, un día antes de que el Gobierno hiciera público el incidente. Las fechas delinean la respuesta institucional comunicada hasta ahora, pero la información disponible no establece qué medidas adicionales adoptaron las autoridades después de anunciar la brecha.

La empresa señalada por la prensa es Pays ApS, con sede en Funen. Aunque la administración del CPR no la nombró en su primera confirmación pública, su directora gerente, Sophie Laursen, confirmó el 9 de octubre que el acceso de la compañía había sido explotado; el sitio web de Pays fue retirado y la empresa no respondió a la solicitud de comentarios del medio que dio seguimiento al caso.

El Gobierno danés no respondió a las preguntas sobre las supuestas fallas de contraseña, una limitación que impide presentar ese dato como una conclusión oficial. Por ahora, la conexión entre la clave «123456» y el incidente procede del testimonio atribuido a la persona que afirma haber accedido al sistema y del reporte de medios locales sobre las cuentas empresariales.

Lo que se sabe y lo que aún falta aclarar

El CPR es el registro nacional de personas de Dinamarca, y la compañía tenía acceso para prestar un servicio relacionado con la validación de información de clientes empresariales. La brecha, por tanto, no se describe como una intrusión directa contra una base abierta al público, sino como el aprovechamiento de una vía de acceso concedida para una finalidad comercial autorizada.

Los datos divulgados permiten reconstruir una cronología básica: el acceso habría comenzado el 10 de septiembre, las búsquedas se prolongaron hasta el 20 de ese mes y el sistema detectó la intrusión el 2 de octubre. Luego, Datatilsynet recibió aviso el 4 de octubre y el Gobierno comunicó el incidente al día siguiente.

Aún no se han publicado detalles suficientes para determinar si la información llegó a copiarse ni cómo se contuvieron las búsquedas automatizadas. Tampoco se informó si las 14 millones de consultas produjeron una exposición uniforme o si se concentraron en determinados registros, así que no es posible precisar qué datos correspondieron a cada búsqueda.

La investigación pública deberá aclarar cómo se supervisaban las cuentas empresariales y qué controles aplicaba el registro a un acceso legítimo que terminó siendo abusado. Mientras tanto, el caso combina un alcance elevado, una detección tardía respecto de la última actividad registrada y acusaciones sobre contraseñas débiles que las autoridades todavía no han confirmado.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados