Resumen:
Una reciente filtración de información personal a gran escala en Dinamarca expuso impactantes problemas de seguridad de las cuentas. Una investigación del medio danés Politico descubrió que al menos tres cuentas de usuario de la empresa de tecnología de la información Pays de Funen relacionadas con el incidente utilizaron la contraseña extremadamente simple "123456", incluida incluso la cuenta de administrador. Como los piratas informáticos utilizaron los derechos legales de consulta de datos de las empresas involucradas para obtener acceso al Sistema Central de Registro de Población de Dinamarca, la información personal de aproximadamente 8,8 millones de personas registradas se vio afectada.
Según un informe del Copenhagen Post del 10 de octubre, la empresa involucrada, Pays ApS, está ubicada en Odense, Dinamarca. La empresa tenía autoridad legal para consultar datos del Registro Central de Población (CPR) de Dinamarca, pero posteriormente se abusó de esta autoridad. El medio danés Politico analizó los datos filtrados relacionados con el ataque y descubrió que al menos tres cuentas involucradas utilizaban "123456" como contraseña de inicio de sesión, y una de las cuentas tenía derechos de administrador.
Jens Milup Peterson, profesor del Departamento de Ingeniería Eléctrica e Informática de la Universidad de Aarhus, criticó severamente esto y consideró que tales medidas de seguridad con contraseñas son casi inútiles. Señaló que "123456" es una de las contraseñas más comunes y fáciles de adivinar. Cuando los atacantes intentan descifrar cuentas, a menudo prueban primero combinaciones tan simples. Una protección de cuenta tan débil abre efectivamente la puerta a los atacantes.
Es difícil imaginar que una empresa adopte peores medidas de seguridad de contraseñas que estas, afirmó Peterson, y es casi sólo cuestión de tiempo antes de que algo como esto suceda.
Sophie Lawson, directora general y propietaria de Pays, confirmó previamente a Danish TV 2 que la empresa era de hecho la empresa cuyos derechos legítimos de consulta de datos fueron abusados en este incidente. Ella afirmó en el correo electrónico que la empresa había sufrido un ataque y que el atacante se había aprovechado de los permisos de consulta del sistema CPR de propiedad legal de la empresa.
CPR es el sistema central de registro de población de Dinamarca, que registra la información de identidad de las personas registradas en Dinamarca y es una infraestructura importante para el sistema de servicios públicos del país. La información relevante se utiliza ampliamente para la identificación y los servicios públicos, como los servicios médicos y administrativos. Según información publicada anteriormente por el gobierno danés, el incidente involucró los nombres, direcciones, números de identificación personal de CPR y otra información de aproximadamente 8,8 millones de personas registradas.
Cabe señalar que 8,8 millones no significa que todos los 8,8 millones de residentes que viven actualmente en Dinamarca estén afectados. El sistema CPR también registra a personas que han emigrado al extranjero, personas fallecidas y otras que estaban previamente registradas en Dinamarca, por lo que el incidente involucra una gran cantidad de registros de registro en el sistema, no solo la población que vive actualmente en Dinamarca.
La identidad del atacante en este incidente no ha sido confirmada oficialmente. Un hacker anónimo se atribuyó previamente la responsabilidad del ataque a Politico y dijo que inicialmente utilizó una contraseña previamente filtrada de un ex empleado para ingresar al sistema correspondiente. Según el hacker, después de obtener acceso a la cuenta, escribió dos programas informáticos: uno para consultar y recopilar información personal del sistema CPR y el otro para guardar los datos obtenidos fuera del sistema.
El hacker afirmó que todo el proceso no fue tan complicado como se imaginaba. También dijo que no tenía planes de vender u obtener públicamente los números de identificación personal y dijo que se sorprendió al descubrir cuán débil era la seguridad del sistema. Sin embargo, estas declaraciones actualmente provienen principalmente de los propios piratas informáticos, y los hechos relevantes aún requieren una mayor investigación y confirmación por parte de la policía y los departamentos pertinentes.
El gobierno danés ha confirmado previamente que personas no autorizadas utilizaron los derechos de consulta de datos que posee legalmente una empresa danesa para obtener una gran cantidad de información personal de personas registradas. Después de descubrir actividades anormales, el departamento de gestión de CPR canceló los derechos de acceso al sistema de la empresa involucrada y notificó el incidente a la Autoridad de Supervisión de Protección de Datos de Dinamarca. La policía también ha cooperado con los departamentos pertinentes para investigar.
La información divulgada oficialmente muestra que el departamento de gestión de CPR notó un comportamiento anormal en el sistema en septiembre en la tarde del 2 de octubre de 2026 y posteriormente confirmó que se había producido un acceso no autorizado a gran escala a los datos. El 5 de octubre, el Ministerio danés de Investigación, Educación y Asuntos Digitales anunció oficialmente el incidente y anunció que llevaría a cabo una revisión de seguridad integral del sistema CPR para determinar el curso específico del incidente, su alcance de impacto y otras medidas que deben tomarse.
El aspecto más preocupante de este incidente no es sólo el gran número de personas involucradas, sino también el hecho de que los atacantes no necesariamente explotaron vulnerabilidades técnicas complejas en el sistema central en sí, sino los derechos de acceso legítimos de empresas de terceros y sus débiles medidas de seguridad de cuentas. Originalmente, las empresas obtuvieron permisos de consulta debido a necesidades comerciales, pero es posible que se hayan convertido en un punto de entrada para que los atacantes ingresen a bases de datos públicas importantes debido a una mala gestión de contraseñas, una protección insuficiente de la cuenta o una supervisión de acceso insuficiente.
El sistema pertinente en Dinamarca permite a las empresas y asociaciones privadas calificadas consultar cierta información en el CPR cuando tienen necesidades legítimas, como obtener la información de la dirección de clientes o miembros. Este acuerdo puede satisfacer las necesidades de las actividades comerciales normales y la gestión organizacional, pero también significa que la seguridad de la base de datos central no puede depender únicamente de la protección técnica del sistema en sí. También debe garantizar que todas las agencias externas que obtengan derechos de acceso cumplan con estrictos requisitos de seguridad.
Este incidente también resalta la importancia de la protección de la cuenta de administrador. Las cuentas de administrador suelen tener mayores privilegios. Una vez utilizados sin autorización, los atacantes pueden obtener capacidades operativas mucho más allá de las de las cuentas de usuarios normales. El riesgo se amplifica aún más cuando dichas cuentas utilizan contraseñas fáciles de adivinar y carecen de autenticación multifactor, detección de acceso anormal y restricciones estrictas de permisos.
Para la gente corriente, los riesgos que pueden surgir de las filtraciones de información personal a gran escala no desaparecerán inmediatamente cuando se cierre el acceso al sistema. Una vez en manos equivocadas, información como nombres, direcciones y PIN pueden utilizarse para fraude, robo de identidad o ataques de phishing dirigidos. Incluso si un atacante afirma que los datos no se venderán ni divulgarán, esta declaración no puede tomarse como garantía de que la información no se difundirá más.
Las autoridades danesas han recordado al público que esté atento, especialmente contra las estafas telefónicas y por correo electrónico que utilizan información personal real para generar confianza. Incluso si la persona que llama puede indicar con precisión el nombre, la dirección o el número de CPR de la persona, eso no significa que sea una agencia gubernamental, un banco u otra organización legítima confiable. Como resultado, las personas no deben proporcionarse contraseñas u otra información confidencial entre sí.
Este incidente aún está bajo investigación. Los departamentos pertinentes aún deben determinar la verdadera identidad del atacante, si los datos se han copiado en varias ubicaciones y si la información filtrada se ha difundido aún más. El gobierno danés también necesita evaluar más a fondo el mecanismo de gestión para que empresas de terceros accedan al sistema central de registro de población y determinar si es necesario fortalecer los requisitos de contraseña, la protección de la cuenta de administrador, la revisión de los derechos de acceso y el monitoreo de consultas anormales.
A juzgar por los problemas expuestos por el incidente, proteger grandes bases de datos públicas no es tan simple como implementar equipos de seguridad avanzados o parchear vulnerabilidades técnicas. Incluso si el propio sistema central tiene medidas de protección completas, mientras las empresas asociadas externas puedan acceder a los datos con permisos legales y las cuentas de estas empresas carezcan de protección de seguridad básica, todo el sistema de datos aún puede enfrentar graves riesgos.
Un conjunto de contraseñas increíblemente simples "123456" puede eventualmente convertirse en un eslabón débil clave en una filtración de información personal a gran escala. Este incidente demuestra una vez más que la seguridad de las cuentas, la gestión del acceso de terceros y el monitoreo continuo también son componentes integrales de la protección de la infraestructura de datos nacional.
Comentarios