El intruso operó durante diez días con cerca de 14 millones de consultas automatizadas, de acuerdo con los registros que maneja la administración. No hubo explotación de vulnerabilidades ni herramientas de ataque sofisticadas: bastó una credencial heredada, compartida entre varias cuentas de la empresa que gestionaba el acceso autorizado al registro civil.
La brecha se confirmó el 5 de octubre, tres días después de que un empleado del ministerio reparara en una factura de Pays ApS con una actividad anormalmente elevada. Sophie Laursen, directora de la compañía, confirmó a la cadena TV 2 que el acceso comprometido era el de su empresa, aunque ni la compañía ni la administración han reconocido oficialmente el detalle de la contraseña, que se conoció por la prensa danesa.
El registro civil danés concentra alrededor de 11 millones de registros, incluidos fallecidos y residentes en el exterior. El número CPR funciona como la llave que acredita la identidad ante administraciones y empresas, y decenas de compañías lo consultan a diario con permiso oficial para verificar direcciones o comprobar la existencia de un cliente. La seguridad del sistema depende, en la práctica, de la higiene digital de cada organización autorizada a consultarlo.
Al menos tres cuentas de Pays compartían la misma clave, incluida una de administrador Politiken. La firma de ciberseguridad Malwarebytes sitúa el origen en un correo vinculado a un antiguo empleado que ya aparecía con esa contraseña en una filtración previa, algo que la propia TV 2 afirma haber corroborado. En España no existe un identificador homólogo exacto: la identidad se reparte entre el Padrón, el DNI y el Registro Civil.
«Un registro que sostiene la identidad de todo un país no cayó por un ataque sofisticado: cayó porque tres cuentas compartían la misma clave de seis dígitos», resume la crónica de la prensa danesa sobre el incidente.
Las consecuencias son de naturaleza económica antes que técnica. Con nombre, dirección y número CPR se pueden abrir cuentas bancarias, solicitar créditos o redirigir correspondencia oficial, lo que abarata de forma notable el fraude de suplantación de identidad. Que el autor del acceso haya asegurado a Politiken que no piensa vender ni difundir los datos no reduce el riesgo: la información ya ha quedado expuesta y no caduca con el tiempo.
Tres semanas sin ninguna alerta automática
El calendario revela una falla de control. Las consultas masivas se prolongaron hasta el 20 de septiembre, pero la intrusión no se detectó hasta el 2 de octubre, doce días después de la última búsqueda registrada y sin que saltara ninguna alerta. Lo que rompió el silencio fue una factura con un importe inusual, no un sistema de vigilancia diseñado para detectar anomalías de uso. Bajo la directiva europea NIS2, en vigor en Dinamarca desde hace más de un año, los proveedores digitales están obligados a monitorizar sus registros y a notificar incidentes en plazos tasados.
El mercado europeo de verificación de identidad —desde Minsait, filial tecnológica de Indra, hasta Thales o IDnow— vende precisamente lo que aquí falló: control de accesos, trazabilidad y detección de anomalías. En España, la Agencia Española de Protección de Datos ha reiterado que la responsabilidad del tratamiento no se externaliza: si un tercero autorizado accede a los datos, la brecha sigue siendo del responsable del registro.
El episodio se produce en un contexto que lo amplifica. El reglamento europeo eIDAS 2.0 fija la cartera europea de identidad digital como estándar, con despliegue previsto a finales de 2026, un modelo que multiplicará los intermediarios que consultan registros públicos como el CPR. Dinamarca es, además, uno de los países con mayor madurez digital de Europa, con su sistema MitID como referencia en banca y administración, lo que convierte el fallo en una advertencia para mercados con menos costumbre de auditar a sus proveedores. La identidad digital se juega aquí la misma credibilidad que la ciberseguridad de los materiales y sistemas que hoy ocupan a la ciencia europea, como las aleaciones de niobio y titanio que resisten -253 °C sin volverse frágiles.
Datatilsynet, la autoridad danesa de protección de datos, deberá decidir si abre expediente, mientras el registro revisa las condiciones de acceso de las empresas autorizadas. La cifra de afectados, hoy una estimación sobre 8,8 millones de personas, dependerá de la auditoría que publique la administración.
