Índice de contenidos
Claves de la noticia
- Dinamarca confirma acceso indebido a datos de unos 8,8 millones de personas mediante los permisos de una empresa privada.
- El regulador investiga consultas automatizadas; todavía no atribuye responsabilidades ni identifica a los autores.
- La excepción anunciada protege nombres y direcciones de personas con esa reserva, sin acreditar inmunidad de todos sus datos.
El registro civil danés, CPR, ha comunicado este 5 de octubre una brecha de gran alcance. El incidente aprovecha el acceso legítimo de una empresa para consultar información personal. Su importancia va más allá de la cifra: obliga a examinar cómo una autorización comercial puede convertirse en una vía de extracción masiva y qué protecciones siguieron funcionando.
Una puerta autorizada utilizada indebidamente
Según el comunicado del CPR, personas no autorizadas accedieron a nombres, direcciones y números de identificación personal de aproximadamente 8,8 millones de inscritos. La administración ha suspendido el acceso de la empresa y ha denunciado el incidente ante la autoridad de protección de datos. La policía también investiga.
La descripción oficial permite localizar el punto de entrada, pero no reconstruir todavía toda la intrusión. No identifica a la compañía ni explica cómo terceros lograron utilizar sus permisos. Presentarlo como una vulnerabilidad concreta del software, una contraseña robada o una actuación de empleados sería adelantarse a la evidencia. Tampoco se ha acreditado públicamente que los datos estén a la venta o publicados en internet.
Datatilsynet, el regulador danés, añade una pieza técnica: la notificación describe un gran volumen de consultas automatizadas dirigidas a identificar números CPR válidos. Investiga qué ocurrió, cómo fue posible y quién responde del tratamiento. Su comunicado advierte que aún no puede valorar las circunstancias concretas. Una consulta aceptada por el sistema no demuestra que su finalidad fuese legítima.
El calendario separa intrusión, detección y aviso
El ministerio sitúa la actividad irregular en septiembre y la detección en la tarde del viernes 2 de octubre. El supervisor recibió la notificación el domingo 4. La comunicación pública consultada corresponde al lunes 5. Son hitos distintos: fechar toda la brecha el lunes ocultaría que las consultas investigadas comenzaron antes.
| Momento | Hito confirmado |
|---|---|
| Septiembre de 2026 | Actividad irregular investigada |
| 2 de octubre, tarde | Detección por la administración |
| 4 de octubre | Notificación al regulador |
| 5 de octubre | Comunicados públicos consultados |
La comparación de ambas fuentes establece el orden de respuesta sin inventar plazos horarios. Permite afirmar que el aviso al regulador precedió a estos comunicados públicos, pero no calcular cuándo se conoció cada dato ni concluir si se incumplió un plazo legal. Para eso faltan horas exactas y el momento preciso en que se constató el alcance.
Por qué hay más registros que habitantes
La documentación sobre quién permanece en el CPR explica que las personas fallecidas, desaparecidas o emigradas siguen inscritas. También hay colectivos en el extranjero que necesitan un número, por ejemplo por motivos tributarios. El registro no equivale a un censo exclusivo de residentes actuales.
Para lectores españoles existe una consecuencia concreta: haber abandonado Dinamarca no elimina automáticamente la inscripción. Una persona que vivió allí puede seguir formando parte del registro. Esto no prueba que cada antiguo residente haya sufrido acceso indebido; evita, en cambio, descartar el riesgo únicamente por su domicilio actual. La documentación diferencia además entre información que guarda el sistema y datos efectivamente comprometidos: no permite añadir historiales sanitarios o bancarios al listado de la brecha.
La reserva de dirección tiene un alcance delimitado
El CPR excluye del acceso indebido los nombres y direcciones de quienes habían registrado la protección correspondiente. La precisión importa: el comunicado no extiende esa excepción a todos los campos ni afirma que esas personas quedaran completamente fuera del incidente.
La estadística oficial de protecciones, fechada el 1 de octubre, registra 152.223 protecciones de nombre y dirección, de las cuales 149.125 corresponden a personas activas domiciliadas en Dinamarca. Son contadores de protección, no un balance de víctimas. Restarlos de los 8,8 millones produciría una cifra engañosa porque no describen el mismo conjunto ni acreditan coincidencia individual con los accesos investigados.
Al contrastar esa estadística con la excepción del comunicado se obtiene una conclusión útil: la protección de un campo puede limitar la exposición sin blindar todo el expediente. La revisión de seguridad deberá explicar tanto el abuso de las consultas como la aplicación de esas restricciones. La existencia de una excepción preservada tampoco explica por qué fallaron los controles sobre las demás consultas: ambas cuestiones requieren comprobaciones diferentes.
Conocer un identificador no acredita una identidad
El archivo oficial conserva un antecedente de julio de 2014: tras otro incidente, el CPR recordó que un número personal no debía bastar por sí solo para acceder a información confidencial o contratar en nombre de alguien. Es un principio de autenticación, no una garantía de que nunca pueda producirse suplantación.
Ese antecedente ayuda a interpretar el peligro actual. Nombre, dirección e identificador pueden hacer más convincente un contacto fraudulento sin otorgar automáticamente acceso a todos los servicios. La diferencia también aparece en nuestra cobertura del phishing y las vías de acceso inicial descritas por Microsoft: disponer de contexto personal y superar la autenticación son etapas distintas.
La ministra Christina Egelund ha encargado una revisión amplia del sistema. El ministerio pide no entregar contraseñas ni información confidencial aunque el interlocutor conozca datos personales. Su conclusión práctica es especialmente relevante tras esta brecha: la familiaridad de una llamada puede proceder de información comprometida. El alcance técnico y las responsabilidades siguen pendientes de investigación.
Imagen de archivo: Uddannelses- og Forskningsministeriet, retrato oficial de Christina Egelund. Galería y autorización de uso.
