La brecha de datos en Dinamarca expone a 8,8 millones de personas por una contraseña de juguete: ‘123456’. El atacante no necesitó un día cero ni un rescate: entró por una cuenta legítima de un proveedor autorizado y recorrió durante once días el registro civil danés (CPR), la infraestructura sobre la que descansa la identidad de todo un país.
Claves de la operación
- El botín alcanza a 8,8 millones de personas. El CPR guarda unos 11 millones de registros, con fallecidos y residentes en el exterior incluidos. Los datos comprometidos incluyen nombres, direcciones y números CPR.
- El acceso era legal; el fallo estaba en el proveedor. Pays ApS, empresa informática con permiso de consulta, tenía al menos tres cuentas —una de administrador— con la misma clave, según Politiken.
- Catorce millones de consultas y ninguna alerta temprana. La brecha salió a la luz por una factura con actividad anómala, no por un control de seguridad automatizado.
El eslabón débil no está en el registro, está en su cadena de proveedores
El CPR no fue vulnerado: fue utilizado. La distinción parece semántica y no lo es, porque traslada el problema del sector público al mercado de empresas que se conectan a él para validar los registros de sus clientes. Varias compañías —entre ellas Pays— pueden consultarlo con permiso de la administración. Un sistema es tan seguro como la empresa peor gestionada que tiene permiso para consultarlo, y ese permiso no se audita con la misma severidad que el núcleo del registro.
Pays ApS es una empresa informática pequeña, y ese detalle explica por qué su nombre tardó en aparecer. Sophie Laursen, su directora, confirmó el vínculo por correo a TV 2, según el Copenhagen Post. Sobre la contraseña, Politiken sostiene que al menos tres cuentas —incluida una de administrador— compartían la misma clave; ni la compañía ni la autoridad del CPR lo han confirmado. Malwarebytes aporta el origen probable: un correo asociado a un antiguo empleado aparecía en una filtración previa con la clave ‘123456’.
El informe de Verizon para 2025 ya señalaba que las credenciales robadas o filtradas son la vía más habitual de las brechas y que las filtraciones originadas en terceros han aumentado de forma alarmante. La brecha de datos en Dinamarca no añade una técnica nueva; añade una confirmación incómoda. La verificación de identidad descansa sobre una paradoja: cuantos más datos se consultan para acreditar a un cliente, más valiosa resulta la credencial que abre esa consulta.
La cronología delata más que cualquier auditoría forense
El acceso se produjo el 10 de septiembre con credenciales de Pays ApS y se prolongó hasta el 20, con unos 14 millones de búsquedas automatizadas. La autoridad del CPR confirmó la brecha el 5 de octubre, después de que un empleado del ministerio reparara en una factura de la compañía con una actividad anormalmente alta. La detección llegó doce días tarde y por la vía contable, no por un sistema de monitorización. Nadie miró.
La seguridad de un registro civil no la fija su criptografía, sino la contraseña más débil de la empresa que tiene permiso para consultarlo.
La declaración del atacante a Politiken, asegurando que no piensa vender ni publicar los datos, es el único alivio del expediente. No cambia la factura: notificación a 8,8 millones de personas, auditorías forzadas, revisión de contratos de acceso y un daño reputacional que en el negocio de la identidad digital se paga en renovaciones perdidas. La confianza es el único activo que un registro civil vende, y se deprecia más rápido que cualquier otro.
España tiene tres puertas donde Dinamarca tiene una sola
España carece de un homólogo exacto del CPR. Sus funciones se reparten entre el Padrón municipal, que fija residencia y domicilio; el DNI, que gestiona la Policía Nacional para la identidad, y el Registro Civil, que custodia el estado civil. Esa fragmentación evita el punto único de fallo, pero multiplica los proveedores y, con ellos, la superficie expuesta. Cada integración con una administración distinta es una credencial más que puede acabar en una filtración y reutilizarse años después.
En el IBEX 35, Indra —a través de Minsait— es uno de los proveedores de referencia en digitalización de administraciones públicas y proyectos de identidad digital, un negocio que crece cada vez que Bruselas endurece los requisitos de verificación. No hay llave maestra que revocar, pero sí decenas de llaves repartidas entre contratistas, subcontratistas y empresas autorizadas para consultar datos públicos.
El calendario regulatorio añade presión. El despliegue de la cartera europea de identidad digital prevista en el reglamento europeo de identidad digital trasladará a los Estados la obligación de ofrecer una identidad verificable y común, lo que multiplicará las consultas entre sistemas. La agencia europea de ciberseguridad lleva años insistiendo en lo mismo: la autenticación multifactor, y la rotación de credenciales son controles básicos, no extras.
Lo que la brecha danesa deja claro es que el debate sobre soberanía digital se libra en un terreno menos glamuroso del que venden los planes industriales: la gestión de contraseñas en empresas de pocos empleados con acceso a datos de once millones de registros. Ningún plan de digitalización pública sobrevive a un proveedor con 123456. La prueba de fuego no será el informe forense del caso, sino la revisión del modelo de accesos: cuántas organizaciones más consultan el CPR con credenciales compartidas y sin doble factor.
La entrada Brecha de datos en Dinamarca: acceden al registro civil con la contraseña ‘123456’ y exponen a 8,8 millones aparece primero en Moncloa.
