La brecha en el registro de población de Dinamarca expone los riesgos del Estado digital europeo

Dinamarca investiga una de las mayores brechas de datos personales de su historia después de que usuarios no autorizados accedieran a información de alrededor de 8,8 millones de personas a través del Registro Central de Personas (CPR) del país. Los datos comprometidos incluyen nombres, direcciones y números de CPR, que funcionan como identificadores personales permanentes utilizados en los sistemas sanitarios, bancarios y de administración pública de Dinamarca. El incidente se dio a conocer el 5 de octubre después de que las autoridades detectaran actividad inusual en el sistema en septiembre.

Una conexión de confianza se convirtió en el punto de entrada

La brecha no parece haberse producido por un compromiso directo de la propia infraestructura del CPR. En su lugar, los atacantes explotaron el acceso legítimo de una empresa privada danesa al registro de población y utilizaron esa conexión para realizar un número muy elevado de búsquedas automatizadas. La Agencia Danesa de Protección de Datos señaló que la actividad tenía como objetivo identificar números de CPR válidos y confirmó que recibió una notificación formal sobre el incidente el 4 de octubre.

La distinción es importante. El altamente digitalizado sector público danés depende de permitir que empresas e instituciones privadas accedan a bases de datos estatales con fines legítimos. Según la legislación danesa, las empresas con un interés justificado pueden obtener información del CPR dentro de límites definidos. La brecha demuestra cómo ese acceso puede convertirse en una vulnerabilidad sistémica si se compromete una cuenta o conexión legítima.

El CPR contiene información de aproximadamente 11 millones de personas registradas, incluidos residentes actuales, personas que han emigrado y fallecidos. La cifra de 8,8 millones supera, por tanto, la población actual de Dinamarca, algo más de seis millones. Las personas que habían solicitado específicamente nombres y direcciones protegidos no estaban incluidas en los datos afectados, según las autoridades.

La larga estela de los identificadores permanentes

El aspecto más grave del incidente no es simplemente el número de registros implicados, sino la naturaleza de la información expuesta. A diferencia de una contraseña, un número de CPR danés está destinado a permanecer asociado a una persona de por vida. Su combinación con nombres y direcciones crea una base potencialmente duradera para el fraude de identidad, el phishing dirigido y la ingeniería social.

En consecuencia, las autoridades danesas han advertido a los ciudadanos que extremen la precaución ante llamadas, correos electrónicos y otras comunicaciones que parezcan contener información personal precisa. Conocer el nombre, la dirección y el número de CPR de alguien puede hacer que las comunicaciones fraudulentas resulten mucho más convincentes, incluso cuando los atacantes no tienen acceso a cuentas financieras ni contraseñas.

Las autoridades no han identificado a quién estaba detrás de la operación. La investigación la lleva a cabo la policía junto con los organismos pertinentes, mientras que la Agencia de Protección de Datos examina cómo se procesaron los datos y quién es responsable. Los funcionarios han subrayado que la investigación sigue en una fase temprana y que los detalles conocidos actualmente pueden cambiar a medida que avance la investigación técnica.

Un problema estructural para el modelo digital europeo

Para Dinamarca, la brecha es también una prueba de los supuestos de seguridad que sustentan uno de los Estados digitales más avanzados de Europa. La administración pública del país depende de bases de datos interconectadas que permiten a los ciudadanos utilizar un pequeño número de identificadores digitales en la sanidad, la fiscalidad, la banca y los servicios gubernamentales.

Esa arquitectura genera enormes ganancias de eficiencia, pero también concentra el riesgo. Cuando un único identificador puede conectar gran parte de la relación de una persona con el Estado, las consecuencias de un compromiso se extienden mucho más allá de la base de datos donde se originó la brecha. El caso danés ilustra un dilema europeo más amplio: digitalizar los servicios públicos puede hacer que el gobierno sea más eficiente al tiempo que aumenta el impacto potencial de un único fallo de seguridad.

El problema es especialmente relevante en un momento en que los gobiernos europeos amplían los sistemas de identidad digital e integran infraestructuras públicas y del sector privado. El marco NIS2 de la UE está diseñado para reforzar la ciberseguridad y la resiliencia en sectores críticos y autoridades públicas, con requisitos adicionales de medidas de seguridad, notificación de incidentes y supervisión.

La experiencia de Dinamarca sugiere que proteger estos sistemas requiere más que asegurar los servidores gubernamentales. El perímetro de seguridad incluye cada vez más a empresas privadas, contratistas y otras organizaciones con acceso legítimo a la infraestructura estatal. Un punto débil en ese ecosistema más amplio puede proporcionar a un atacante un acceso que elude muchos de los controles que rodean el sistema gubernamental central.

Dinamarca se dispone a revisar el sistema

El gobierno danés ha ordenado una revisión de seguridad integral del CPR y ya ha suspendido el acceso de la empresa afectada mientras las autoridades trazan la secuencia completa de los acontecimientos. El gobierno también ha ampliado el horario de atención de su línea directa de seguridad digital mientras continúa la investigación.

El incidente es el acontecimiento de seguridad más significativo relacionado con el CPR desde 2015, cuando unos CD físicos con información de más de cinco millones de personas se entregaron por error al Centro de Solicitud de Visados de China en Copenhague. El último caso es fundamentalmente distinto: en lugar de una transferencia accidental de datos, implica la explotación de un mecanismo de acceso digital legítimo a una escala mucho mayor.