Filtración en Dinamarca: 8,8M de datos por ‘123456’

Ocho coma ocho millones de personas y una contraseña que nadie debería usar

Ocho coma ocho millones de personas. Eso equivale a prácticamente toda la población de Dinamarca, y sus nombres, direcciones y números de identificación quedaron expuestos en una brecha que no requirió exploits ni técnicas avanzadas: el presunto atacante entró por la cuenta de una pequeña empresa informática protegida con la contraseña "123456", según reportaron medios daneses como Politiken y TV 2.

Para cualquier founder, la noticia no va de Dinamarca. Va de qué ocurre cuando tu startup es la puerta de entrada a datos de los que dependen miles de personas.

Qué pasó: 21 días de acceso legítimo, no un hackeo

El acceso comenzó el 10 de septiembre y se mantuvo durante 21 días y 17 horas, según reportó Cybernews. En ese período el atacante lanzó unos 14 millones de búsquedas automatizadas sobre el registro, de acuerdo con documentos de TV 2 citados por IBTimes.

La intrusión no se detectó hasta el 2 de octubre, cuando un empleado del ministerio reparó en una factura de Pays ApS con una actividad anormalmente alta. La administración del CPR confirmó la brecha el 5 de octubre y explicó que personas no autorizadas accedieron "haciendo un uso indebido del acceso legal de una empresa danesa".

El detalle que debería preocupar a cualquier equipo de seguridad: el atacante no rompió nada. Entró con credenciales válidas. Un individuo anónimo se atribuyó el ataque ante Politiken y aseguró que no tiene intención de vender ni publicar la información. La administración danesa no confirmó públicamente lo de la contraseña, y ninguna de las cifras de la operación debe tomarse como confirmación oficial.

Por qué una empresa de 2 empleados podía ver los datos de todo un país

Ese es el nudo del problema. El CPR (Det Centrale Personregister) alberga unos 11 millones de registros, porque incluye a residentes actuales, personas fallecidas y ciudadanos que viven en el extranjero, según detalló IBTimes. Las propias autoridades advierten que el número CPR no debería usarse por sí solo como acreditación de identidad.

El acceso ampliado existe por una razón operativa: las empresas con interés legítimo pueden solicitar información para validar direcciones de clientes o mantener registros de socios sin recolectar cada dato manualmente, explicó IBTimes. Pays ApS, radicada en Odense y con apenas 2 empleados según el registro central de empresas danés a julio de 2026 (Cybernews), era una de esas organizaciones autorizadas a consultar.

De ahí la asimetría: la seguridad de un sistema nacional termina dependiendo de las prácticas del más pequeño de sus proveedores. Y el volumen de datos hizo el resto. Según Indulge Express, el presunto atacante afirmó haber extraído 8.749.975 números CPR con dos programas que, según dos expertos que revisaron más de 40.000 líneas de código, parecían generados con IA.

Existe una excepción relevante: las autoridades señalaron que el acceso no incluyó nombres ni direcciones de las personas con protección de nombre y dirección, según IBTimes.

En España no hay un homólogo exacto del CPR: sus funciones se reparten entre el Padrón municipal para residencia y domicilio, el DNI para la identidad y el Registro Civil para el estado civil. Es decir, cualquier país con varios registros conectados entre sí y con proveedores externos enfrenta una superficie de exposición parecida.

Qué significa esto para tu startup

Tres cosas, y las tres se pueden auditar esta misma semana.

• Haz el inventario de accesos de terceros. Pregunta qué cuentas de tu empresa pueden leer datos de clientes y quién las usa. En el caso danés, al menos tres cuentas de Pays ApS, incluida una de administrador, usaban la misma contraseña, según Politiken. Si no puedes responder cuántas cuentas pueden consultar tu base de datos de producción, ya tienes tu primer hallazgo.
• Mata las credenciales heredadas el día que alguien sale. El acceso habría llegado por la credencial de un ex empleado que aparecía en una filtración previa, según TV 2 y Malwarebytes. Cuando alguien deja el equipo, la cuenta debe morir el mismo día: rotación de claves, revocación de tokens y limpieza de accesos delegados que quedaron abiertos.
• Alerta por anomalía de consumo, no solo por login fallido. Aquí nadie notó 14 millones de consultas hasta que llegó una factura rara. Un umbral de alerta por volumen de consultas o gasto de API habría cortado el incidente en horas en lugar de tres semanas. Es la métrica más barata que puedes activar hoy.

Por qué las credenciales siguen siendo la puerta más usada

El Informe de Investigaciones de Brechas de Datos (DBIR) 2026 de Verizon, difundido por Help Net Security, aporta el contexto que este caso ilustra mejor que cualquier manual:

• La explotación de vulnerabilidades superó por primera vez en 19 años al robo de credenciales como vector de acceso inicial, según Verizon.
• La participación de terceros en las brechas creció un 60% interanual y ya representa casi la mitad de todos los casos.
• Solo el 23% de las organizaciones terceras remedió por completo sus problemas de autenticación multifactor.
• Las contraseñas débiles y los permisos mal configurados tardan cerca de ocho meses en corregirse en la mitad de los hallazgos.

El matiz danés es todavía más incómodo. Según NordPass, citado por Cybernews, la contraseña más usada en Dinamarca no es numérica: es "admin", seguida de "thunder" y "klovn123", y "123456" aparece recién en cuarto lugar. Traducido: el problema no es una sola contraseña mala, sino una cultura de credenciales predecibles. Como resume Karolis Arbaciauskas, de NordPass y Nord Security, "una contraseña como 123456 no debería usarla nadie, y menos en sistemas sensibles que dan acceso a infraestructura o datos públicos".

Cómo cerrar el eslabón más débil sin frenar al equipo

La tentación es responder con un manual de políticas. Casi nunca funciona. Lo que funciona es reducir la cantidad de puertas y hacer visible el uso irregular.

• Menos accesos con más dueño claro. Cada integración que puede leer datos de clientes debería tener una persona responsable, una fecha de revisión y un alcance mínimo. Si un proveedor necesita validar direcciones, no necesita el historial completo.
• MFA obligatorio en toda cuenta con acceso a datos personales, incluidos los proveedores y las cuentas de servicio. El dato de Verizon es contundente: tres de cada cuatro organizaciones terceras ni siquiera cerraron sus brechas de MFA.
• Simula el escenario del eslabón débil. Pregunta qué pasaría si mañana la cuenta más inocente de tu stack filtra sus credenciales. Si la respuesta es "un empleado lo notaría en la factura", el diseño de monitoreo tiene un hueco.

Conclusión

Dinamarca acaba de aprender, con casi nueve millones de registros, que la seguridad de un sistema vale lo que vale su proveedor más pequeño. No hubo criptografía rota ni un exploit de día cero: hubo una cuenta legítima, una contraseña previsible y tres semanas sin que nadie mirara las métricas de consumo.

Para una startup, la lección es directa. La gestión de accesos dejó de ser un tema de cumplimiento y se convirtió en riesgo operativo puro: un incidente así no solo expone datos ajenos, también expone tu contrato, tu reputación y tu capacidad de seguir vendiendo a clientes que ahora preguntan por tu seguridad antes de firmar. Revisar quién puede leer qué, y detectar antes de que llegue la factura, es hoy una tarea de producto, no solo de TI.

Fuentes

• Xataka: Dinamarca ya no puede fiarse de su número de identidad (fuente original)
• Cybernews: World's worst password '123456' linked to breach of 8.8M Danes
• IBTimes: Hacker Claims Password '123456' Enabled Access to Denmark's National Registry
• Indulge Express: Denmark data breach: How a '123456' password exposed 8.8 million records
• Help Net Security: Verizon DBIR 2026 findings