Dinamarca se enfrentaría a uno de los incidentes de ciberseguridad más graves de su historia reciente. La administración del Registro Central de Personas (CPR) del país escandinavo ha confirmado un acceso no autorizado a gran escala que ha expuesto los datos personales de aproximadamente 8,8 millones de personas registradas en su sistema.
El incidente, detectado a principios de octubre tras identificarse un comportamiento anómalo acumulado a lo largo del mes de septiembre, ha puesto en alerta máxima a las autoridades danesas.
Entre la información comprometida se encuentran nombres completos, direcciones postales y los números de identificación personal (CPR-nummer), elementos fundamentales para la gestión administrativa y la vida cotidiana de los ciudadanos.
La magnitud de la filtración es especialmente significativa si se tiene en cuenta que la población actual del país ronda los 6 millones de habitantes. Así, el volumen comprometido abarca no solo a residentes actuales, sino también a personas fallecidas o emigradas registradas históricamente en la base de datos pública.
No obstante, la administración ha aclarado que la filtración no ha afectado a los ciudadanos que contaban con protección especial de nombre y dirección registrada en el sistema.
Cómo se colaron los atacantes
Los ciberdelincuentes se sirvieron de la cadena de suministro para acceder a estos detalles sensibles. Así, para vulnerar los sistemas de la institución pública explotaron a uno de sus proveedores.
Los atacantes lograron infiltrarse aprovechando el acceso legítimo que una empresa privada danesa poseía para consultar datos en el registro, conforme al marco regulatorio que permite a ciertas entidades con interés legítimo realizar verificaciones bajo estrictas directrices de protección de datos.
Al comprometer las credenciales o permisos de dicha compañía, los cibercriminales pudieron extraer masivamente la información contenida en el registro dentro de los márgenes de consulta técnica permitidos.
Por el momento, la identidad y el origen de los atacantes continúan siendo un enigma, ya que las investigaciones policiales se encuentran en una fase preliminar y las autoridades no han señalado formalmente a ningún grupo o actor.
La administración del CPR ha revocado de inmediato el acceso a la empresa involucrada y está trabajando junto a especialistas de ciberseguridad y la policía danesa para esclarecer el alcance exacto del suceso, además de haber notificado formalmente a la Agencia de Protección de Datos del país (Datatilsynet).
Medidas adoptadas
El impacto político e institucional ha sido inmediato. La ministra de Investigación, Educación Superior y Digitalización, Christina Egelund, ha trasladado la gravedad del asunto al Parlamento danés señalando que se trata de «un incidente profundamente grave del que he informado al Comité de Negocios y Digitalización del Folketing».
Asimismo, la titular de la cartera ha destacado la adopción de medidas urgentes: «Junto con todas las autoridades relevantes, estamos cartografiando la magnitud total del suceso. Ya hemos puesto en marcha iniciativas en relación con el CPR para prevenir incidentes similares y he solicitado una revisión exhaustiva de la seguridad del sistema», ha comentado.
Como medida preventiva, el Gobierno danés ha instado a la población a extremar la precaución ante posibles campañas de ingeniería social o suplantación de identidad que utilicen la información filtrada.
Además, las autoridades han recordado que nunca se deben facilitar contraseñas ni datos confidenciales mediante llamadas o correos electrónicos, aun cuando los interlocutores parezcan conocer datos reales como el nombre o el número de CPR.
Por último, para mitigar el impacto y orientar a los afectados, se ha reforzado el canal oficial de seguridad digital y se han ampliado los horarios de atención de la línea telefónica nacional de ciberseguridad.
Deja una respuesta