Dinamarca dice que los atacantes se llevaron registros del CPR de 8,8 millones de personas

El lunes 5 de octubre de 2026, el Ministerio de Investigación, Educación y Digitalización de Dinamarca reveló que partes no autorizadas habían obtenido datos de unas 8,8 millones de personas del Registro Central de Personas, el CPR. TechCrunch lo describió como la mayor brecha de datos de la historia de Dinamarca. El registro es la capa de identidad bajo la vida danesa, y lo sustraído fueron nombres, direcciones y números de CPR.

Lectura relacionada: La filial de internet de Sony en Japón dice que una brecha expuso 2,6 millones de registros · Capcom dice que una brecha expuso 11,7 millones de registros de CAPCOM ID y permitió a un atacante cambiar 196 contraseñas.

La vía de entrada fue anodina. Nadie derrotó el cifrado ni irrumpió en un servidor fortificado. Los atacantes abusaron del acceso legítimo de una pequeña empresa danesa a la que se permitía consultar el registro, según el ministerio. Más de 14 millones de consultas automatizadas pasaron por el acceso de esa única empresa durante unos diez días de septiembre de 2026, y unas 8,8 millones de ellas devolvieron un registro. El acceso de la empresa ha sido cortado desde entonces. Credenciales válidas, usadas a velocidad de máquina, convirtieron un fallo de control de acceso en un incidente nacional.

Qué es el CPR y por qué el 80 % es la cifra que importa

El CPR es el sistema de registro civil de Dinamarca, y las cifras del ministerio muestran cuánto de él se vio afectado.

• El registro contiene datos de unas 11 millones de personas. Eso incluye a residentes actuales, personas que se han mudado al extranjero y fallecidos.
• Unos 8,8 millones de esos registros se vieron afectados, aproximadamente el 80 % del registro.
• La población actual de Dinamarca supera ligeramente los 6 millones.

La distancia entre 8,8 millones y 6 millones es lo primero que hay que entender. La cifra cuenta registros, no residentes vivos. Una persona que murió hace años o se marchó sigue teniendo un registro del CPR, y el suyo puede quedar atrapado en el mismo barrido. The Record, Help Net Security y The Next Web manejan la cifra de 8,8 millones. El titular y la entradilla de TechCrunch usaron «8 millones» para el mismo suceso, así que los lectores se encontrarán con ambos números.

Un grupo quedó excluido. El ministerio dijo que la brecha no incluía a las personas que habían registrado protección de nombre y dirección, un ajuste que mantiene una dirección fuera de los listados públicos.

Alcanzar aproximadamente el 80 % de un registro que el Estado ha mantenido durante décadas es inusual. La mayoría de las brechas de una base de datos pública exponen una porción elegida por un proceso de negocio, un conjunto de cuentas de cliente o un solo departamento. Esta atravesó casi todo el archivo en cuestión de días.

El número de CPR es la clave

El número de CPR es el identificador nacional de Dinamarca. El mismo número sigue a una persona por la declaración de impuestos, la sanidad y la banca, y el registro filtrado lo vincula a un nombre y una dirección. Esa pareja es lo que hace útiles los datos para un atacante. A diferencia de una contraseña, no se limita a un solo servicio. The Hacker News señaló la amplitud de usos que abarca el número.

Para las personas que están en el registro, el riesgo llega después. Un número de CPR filtrado no abre una cuenta por sí solo, ni da por sí solo entrada a un banco o a un portal sanitario. Combinado con un nombre y una dirección, sin embargo, es la materia prima sobre la que se construyen el fraude de identidad y el phishing convincente. Lo que un atacante tiene ahora es una pieza estable de la identidad cívica de alguien y, a diferencia de una contraseña, no cambia.

Lo que una persona puede hacer después de que ese número se filtre es una pregunta más difícil que restablecer una contraseña. El ministerio aún no ha dado una respuesta para 8,8 millones de registros, y la revelación no trajo ningún consejo de las autoridades sobre sustitución, vigilancia o comprobaciones de fraude.

De una factura a una alerta nacional

La cronología que dieron el ministerio y la administración del CPR es corta y concreta.

• La administración del CPR advirtió actividad irregular la tarde del viernes 2 de octubre de 2026, cuando un empleado la notó. La escala se estableció durante el fin de semana.
• Agentes de la Unidad Nacional contra la Delincuencia Especial visitaron la empresa el sábado por la tarde, 3 de octubre de 2026, para asegurar pruebas.
• La administración notificó a la Agencia Danesa de Protección de Datos, Datatilsynet, el domingo 4 de octubre de 2026.
• Datatilsynet publicó su aviso el 5 de octubre, el mismo día en que el ministerio hizo público el caso.

La actividad se notó, en última instancia, a través de una factura o una cuenta, según los relatos del caso. Si eso significa que el abuso afloró en registros de facturación, en una anomalía de coste o en una revisión rutinaria no queda claro a partir de las declaraciones públicas. Lo que el detalle sí muestra es que las consultas se camuflaron el tiempo suficiente como para necesitar una detección a posteriori. La ventana de diez días es la escala de esa brecha.

La ministra de Digitalización danesa, Christina Egelund, lo llamó «un incidente profundamente grave».

Un incidente profundamente grave.

Sin sospechosos y un caso aún abierto

En el momento de la revelación, la policía no había identificado a nadie ni había imputado a nadie. Henriette Erbs, que dirige la Unidad Nacional contra la Delincuencia Especial, dijo que sus agentes estaban contactando con policías de otros países. El ministerio no quiso decir quién estaba detrás de la brecha.

La empresa explotada no ha sido nombrada públicamente y no se ha dado ningún motivo. Eso deja abiertas las preguntas centrales. No se sabe si fue un intento de reunir una base de datos de identidades a granel, un paso hacia el fraude o algo distinto, y el ministerio no ha dicho si los datos ya han cambiado de manos, se han vendido o permanecen sin leer.

Lo que el ministerio ha dicho es más concreto: que se hizo un mal uso del acceso de una empresa, que las consultas duraron unos diez días y que el acceso se ha cerrado. No ha explicado cómo pasó inadvertido el mal uso, ni qué hizo, si es que hizo algo, la propia empresa.

Los investigadores se han movido rápido en las partes que pueden controlar. La Unidad Nacional contra la Delincuencia Especial aseguró pruebas en la empresa el día después de que se detectara la actividad, y la notificación a Datatilsynet llegó en dos días. Los puntos abiertos son los más lentos: la atribución, el motivo y el destino de los datos. Una brecha de este tamaño en un registro también plantea la pregunta de quién responde por ella, algo que ninguna autoridad danesa ha abordado aún en público.

El eco de 2015

Dinamarca ya ha estado aquí antes, a menor escala. En 2015, dos CD sin cifrar con datos del CPR de más de 5 millones de personas se entregaron por error al Centro de Solicitud de Visados de China en Copenhague. Las autoridades dijeron entonces que no había pruebas de que los datos se hubieran copiado o filtrado. Ese incidente fue un error de mensajería. Este, según el relato del ministerio, fue una parte externa usando el acceso legítimo de una empresa para consultar el registro de forma masiva, y el acceso siguió activo unos diez días antes de que se cerrara.

Los dos sucesos difieren en el método y en lo que vino después. El caso de 2015 planteó preguntas sobre cómo se movían los soportes físicos entre oficinas. Este plantea preguntas sobre cómo se vigila el acceso digital al registro. En ambos, los datos salieron por una vía que el Estado había aprobado, y en ninguno tuvo un externo que irrumpir.

Por qué un fallo de acceso es el caso difícil

La mayoría de las historias de brechas terminan en un producto parcheado o una configuración corregida. Esta termina en una pregunta sobre el propio modelo de acceso.

El registro tiene que ser consultable. Las empresas y los organismos públicos con acceso legítimo necesitan consultarlo para el trabajo que hacen, y el ministerio ha dicho que el número se usa en impuestos, sanidad, banca y otros servicios. La brecha no exigió a nadie derrotar ese diseño. Solo exigió que un titular del acceso se volviera contra el registro o quedara comprometido. Detectar eso significa vigilar tanto quién tiene acceso como cuánto del registro toca cada uno, y a qué velocidad. Una sola cuenta extrayendo millones de registros en diez días es un patrón. Por qué afloró a través de una factura, y no de la vigilancia, es la pregunta que el caso deja abierta.

La parte difícil es estructural. Una interfaz de consulta que responde a millones de peticiones en diez días funciona según lo previsto para cada consulta individual. La anomalía aparece solo en conjunto, en el patrón de quién pregunta y con qué frecuencia. Detectarla significa registrar y analizar las tasas en cada organización a la que se concede acceso, algo más fácil de escribir en una política que de hacer cumplir.

El ministerio no ha dicho cómo llegó a hacerse un mal uso del acceso de la empresa, ni si el responsable fue un infiltrado, una cuenta comprometida o una integración mal configurada. Hasta que lo haga, el incidente demuestra que un registro puede vaciarse por una puerta que se abrió a propósito.

Qué hay que vigilar

Si la investigación nombra a alguien, y si cruza fronteras. Erbs dijo que su unidad está contactando con policías de otros países, la señal más clara hasta ahora de que el rastro apunta fuera de Dinamarca. Un caso transfronterizo también pondría a prueba cómo trabajan las autoridades danesas con policías extranjeras cuando los datos se toman de un registro nacional.

Si la revisión de Datatilsynet confirma la escala. La agencia no había terminado su evaluación cuando el ministerio hizo público el caso, y su expresión «presuntamente obtenidas» deja margen para que la cifra cambie. Si el número confirmado baja, también baja la posibilidad de que esto siga siendo la mayor brecha del país.

Qué cambia el operador del registro. El acceso de la empresa ha sido cortado, pero el ministerio no ha descrito nuevos límites sobre cuánto del CPR puede consultar cada titular. Ese es el control que habría acotado este incidente desde el principio, y es el que más probablemente se debata.

Y qué se dice a las personas afectadas que hagan. Con nombres, direcciones y números de CPR en circulación, la respuesta oficial para 8,8 millones de registros dirá tanto sobre la preparación danesa como la propia brecha. El ministerio ha descrito el incidente y la respuesta hasta ahora, pero no la orientación que viene después.

Imagen de portada: Moahim, Wikimedia Commons, CC BY-SA 4.0.