Dinamarca: acceso indebido expone datos de 8,8 millones

El gobierno de Dinamarca informó este lunes (5) que personas no autorizadas consultaron nombres, direcciones y números de CPR de aproximadamente 8,8 millones de personas registradas en el Det Centrale Personregister, el registro nacional que sostiene prácticamente toda la relación del ciudadano danés con el Estado, los bancos y el sistema de salud. El número supera la población del país, de poco más de 6 millones, porque el registro también incluye a quienes han emigrado y a quienes han fallecido: son alrededor de 11 millones de personas en el sistema, según el comunicado oficial.

"Este es un incidente profundamente grave", dijo Christina Egelund, ministra de Investigación, Educación y Digitalización, quien ordenó una revisión amplia de la seguridad del sistema. La línea de atención nacional para seguridad digital estará disponible de 8 a medianoche los próximos días.

Ninguna invasión de perímetro

El detalle que interesa a cualquier CISO está en el vector. Según el gobierno, los responsables no quebraron la infraestructura del registro: utilizaron el acceso legítimo de una empresa privada danesa, cuyo nombre no fue divulgado, para hacer consultas al CPR durante septiembre. La administración del registro revocó la credencial de esa empresa y notificó a Datatilsynet, la autoridad de protección de datos.

La notificación recibida por Datatilsynet el domingo (4) describe, según el regulador, "un número muy grande de búsquedas automatizadas" con el objetivo de identificar números de CPR válidos. En otras palabras, la cuenta de un socio acreditado sirvió como oráculo: cada consulta confirmaba si existía una combinación y a quién pertenecía.

La cronología oficial es breve. La actividad irregular fue detectada la noche del viernes, 2 de octubre. A lo largo del fin de semana, el equipo concluyó que las búsquedas no autorizadas habían ocurrido en septiembre. El regulador fue notificado el domingo y el anuncio público llegó el lunes. Desde la primera alerta hasta la comunicación a los ciudadanos, pasaron menos de tres días.

Lo que aún no se sabe

Los registros con nombre y dirección protegidos, utilizados por personas bajo amenaza, quedaron fuera de su alcance, según el comunicado. Aparte de eso, las lagunas son relevantes. La policía no ha identificado a los autores y la investigación está en fase inicial. Ninguna de las dos agencias ha indicado si los datos fueron descargados en masa, almacenados o transferidos, y las autoridades no han anunciado casos confirmados de fraude relacionados con el episodio hasta la publicación de este artículo.

Tampoco está claro por qué un volumen de consultas automatizadas suficiente para cubrir 8,8 millones de registros pasó un mes entero sin disparar una alerta. Esa es la pregunta que la revisión de seguridad pedida por Egelund tendrá que responder, y es la misma que los consejos de administración deberían hacerse sobre cualquier API expuesta a socios.

Por qué el caso trasciende Dinamarca

El número de CPR funciona como clave única en bancos, operadores, aseguradoras y prestadores de salud daneses, de forma comparable al Social Security Number en los Estados Unidos, según The Record. Combinado con el nombre y la dirección, sirve como materia prima para ingeniería social y para intentos de apertura de cuentas. La recomendación oficial a los ciudadanos fue redoblar la atención a contactos fraudulentos.

Para las empresas, el incidente expone un modelo de acceso que se repite en otros mercados. En Estados Unidos, burós de crédito, verificadores de identidad e integradores consultan bases gubernamentales y privadas mediante credenciales otorgadas a terceros. En Brasil, la validación de CPF por parte de bancos, fintechs y empresas de cobranza sigue una lógica similar: el socio recibe una credencial legítima y comienza a consultar a gran escala.

El caso danés muestra el costo de esta asimetría. La credencial era válida, las consultas eran técnicamente permitidas y el perímetro funcionó como se diseñó. Lo que falló fue la lectura del comportamiento: límites de tasa, alertas para escaneo secuencial, revisión periódica del volumen consultado por socio. Son controles baratos en comparación con lo que cuesta notificar a millones de personas.

Hay además un efecto regulatorio. Datatilsynet tendrá que evaluar no solo la administración del CPR, sino también la empresa cuya credencial fue utilizada. Bajo el GDPR, la responsabilidad por el tratamiento no desaparece porque el acceso fue abusado por terceros, y la conclusión del regulador danés será leída con atención por otras autoridades europeas que supervisan registros poblacionales abiertos a socios privados.

Para el CIO que administra integraciones con bases de identidad, la lección es operacional: la auditoría de terceros que se limita a verificar si se firmó el contrato no habría impedido nada aquí. La que mide lo que cada socio consulta, y con qué frecuencia, quizás habría acortado el mes de septiembre a algunas horas.