Filtración de datos en el registro de población de Dinamarca afecta a 8,8 millones de personas

El Registro Central de Población (CPR) de Dinamarca ha emitido una advertencia sobre una brecha de datos que dejó al descubierto la información personal de aproximadamente 8,8 millones de individuos registrados. Esto abarca a personas que residen en el país, aquellas que se han trasladado al extranjero e incluso a fallecidos.

El CPR es el registro civil nacional del país y contiene datos personales de los residentes, como nombres, direcciones, fechas de nacimiento, estado civil y números de identificación CPR únicos.

Según un comunicado publicado hoy por el CPR, actores maliciosos aprovecharon el acceso legítimo de una empresa privada danesa al sistema de registro para obtener nombres, direcciones, números CPR y otra información relacionada con los miembros registrados.

Un anuncio separado de la Agencia Danesa de Protección de Datos indica que el ataque involucró algún tipo de fuerza bruta para enumerar números CPR válidos y luego extraer los datos correspondientes de cada entrada.

El sistema CPR alberga actualmente datos de 11 millones de ciudadanos registrados, por lo que el incidente afectó a una gran parte (80%) de ellos, aunque no a todos.

El incidente de seguridad ocurrió en septiembre de 2026, pero la administración del CPR se enteró de la brecha el 2 de octubre y determinó la magnitud del impacto durante el fin de semana.

El acceso de la empresa privada al registro ha sido bloqueado y la policía ha iniciado una investigación que está en curso.

"Este es un incidente extremadamente grave, por lo que también he informado al Comité de Negocios y Digitalización del Parlamento", declaró la ministra de Investigación, Educación y Digitalización, Christina Egelund.

Egelund afirmó que se han implementado medidas de seguridad adicionales para prevenir incidentes similares en el sistema CPR y instó a los ciudadanos a mantenerse en alerta máxima ante comunicaciones no solicitadas.

Se ha establecido una "línea directa cibernética" dedicada para las personas potencialmente afectadas, y también hay ayuda y orientación disponibles en línea en sikkerdigital.dk.

"A la luz del incidente, se recuerda a todos que nunca deben revelar contraseñas u otra información confidencial en respuesta a llamadas telefónicas, correos electrónicos o comunicaciones similares", advirtió el anuncio.

"Esto se aplica incluso si el destinatario parece conocer su nombre, dirección y número CPR".

BleepingComputer se ha puesto en contacto con la agencia para obtener más información sobre el incidente, incluido cómo fue comprometida la empresa privada, pero no ha recibido respuesta hasta el momento de la publicación.

Construya su plan de seguridad para ataques impulsados por IA

Únase a Mikko Hyppönen y líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre qué cambian los ataques a la velocidad de la IA, qué deben dejar de hacer los defensores y cómo validar, decidir, corregir y revalidar a velocidad de máquina.