Data breach at Denmark’s national population register exposes 8.8 million people
The Record · 5 oct, 14:00
Dinamarca investiga un robo de datos en su registro central de población (CPR) que afecta a aproximadamente 8,8 millones de personas. Los atacantes explotaron el acceso legítimo de una empresa nacional para obtener nombres, direcciones y números CPR (equivalentes a los números de seguro social estadounidenses). El incidente, detectado el viernes tras actividad irregular, ocurrió durante septiembre y se caracterizó por búsquedas automatizadas masivas para identificar números CPR válidos.
El registro central de población danés (CPR) contiene información de aproximadamente 11 millones de personas, incluyendo residentes actuales, personas que se han mudado al extranjero y fallecidos, aunque la población actual de Dinamarca es de poco más de seis millones. Los números CPR de diez dígitos, que comienzan con la fecha de nacimiento, se utilizan para servicios de sanidad, banca y gobierno en Dinamarca. La Agencia de Protección de Datos danesa describió el ataque como implicando un número muy elevado de búsquedas automatizadas en el sistema destinadas a identificar números CPR válidos.
La ministra de investigación, educación y digitalización, Christina Egelund, calificó el incidente como "profundamente grave" y ordenó una revisión de seguridad amplia del sistema. La línea de atención de seguridad digital del país operará con horario extendido de 8 a.m. a medianoche en los próximos días. Expertos en seguridad señalan que este incidente demuestra los riesgos inherentes de las bases de datos nacionales altamente centralizadas cuando se otorga acceso directo a empresas privadas: una cuenta comprometida en un único proveedor puede eludir los controles de seguridad principales de una organización. Este es el incidente más significativo que afecta al sistema CPR desde 2015, cuando dos CDs sin cifrar conteniendo información de más de cinco millones de personas fueron entregados por error al Centro de Solicitud de Visas Chino en Copenhague.
Puntos clave
- Afecta a aproximadamente 8,8 millones de personas de una población de 11 millones en el registro CPR
- Los datos expuestos incluyen nombres, direcciones y números CPR (identificadores de por vida)
- El ataque consistió en búsquedas automatizadas masivas para identificar números CPR válidos
- La brecha ocurrió durante septiembre pero se detectó el viernes tras actividad irregular
- Se ordenó revisión de seguridad amplia y se extendió el horario del servicio de atención digital a medianoche