Dinamarca: acesso indevido expõe dados de 8,8 milhões no CPR

O governo da Dinamarca informou nesta segunda-feira (5) que pessoas não autorizadas consultaram nomes, endereços e números de CPR de cerca de 8,8 milhões de pessoas registradas no Det Centrale Personregister, o cadastro nacional que sustenta praticamente toda a relação do cidadão dinamarquês com o Estado, os bancos e o sistema de saúde. O número supera a população do país, de pouco mais de 6 milhões, porque o registro guarda também quem emigrou e quem já morreu: são cerca de 11 milhões de pessoas no sistema, segundo o comunicado oficial.

"Este é um incidente profundamente grave", disse Christina Egelund, ministra de Pesquisa, Educação e Digitalização, que ordenou uma revisão ampla da segurança do sistema. A linha de atendimento nacional para segurança digital passou a funcionar das 8h à meia-noite nos próximos dias.

Nenhuma invasão de perímetro

O detalhe que interessa a qualquer CISO está no vetor. Segundo o governo, os responsáveis não quebraram a infraestrutura do registro: usaram o acesso legítimo de uma empresa privada dinamarquesa, cujo nome não foi divulgado, para fazer consultas ao CPR durante setembro. A administração do cadastro revogou a credencial dessa empresa e notificou a Datatilsynet, a autoridade de proteção de dados.

A notificação recebida pela Datatilsynet no domingo (4) descreve, segundo o regulador, "um número muito grande de buscas automatizadas" com o objetivo de identificar números de CPR válidos. Em outras palavras, a conta de um parceiro credenciado serviu como oráculo: cada consulta confirmava se uma combinação existia e a quem pertencia.

A cronologia oficial é curta. A atividade irregular foi detectada na noite de sexta-feira, 2 de outubro. Ao longo do fim de semana, a equipe concluiu que as buscas não autorizadas haviam ocorrido em setembro. O regulador foi notificado no domingo e o anúncio público veio na segunda. Do primeiro alerta à comunicação aos cidadãos, passaram-se menos de três dias.

O que ainda não se sabe

Os registros com nome e endereço protegidos, usados por pessoas sob ameaça, ficaram fora do alcance, segundo o comunicado. Fora isso, as lacunas são relevantes. A polícia não identificou os autores e a investigação está em estágio inicial. Nenhuma das duas agências disse se os dados foram baixados em massa, armazenados ou repassados, e as autoridades não anunciaram casos confirmados de fraude ligados ao episódio até a publicação desta matéria.

Também não está claro por que um volume de consultas automatizadas suficiente para cobrir 8,8 milhões de registros passou um mês inteiro sem disparar alerta. Essa é a pergunta que a revisão de segurança pedida por Egelund terá de responder, e é a mesma que conselhos de administração deveriam fazer sobre qualquer API exposta a parceiros.

Por que o caso ultrapassa a Dinamarca

O número de CPR funciona como chave única em bancos, operadoras, seguradoras e prestadores de saúde dinamarqueses, de forma comparável ao Social Security Number nos Estados Unidos, segundo a The Record. Combinado a nome e endereço, ele serve de matéria-prima para engenharia social e para tentativas de abertura de contas. A recomendação oficial aos cidadãos foi redobrar a atenção a contatos fraudulentos.

Para empresas, o incidente expõe um modelo de acesso que se repete em outros mercados. Nos Estados Unidos, birôs de crédito, verificadores de identidade e integradores consultam bases governamentais e privadas por meio de credenciais concedidas a terceiros. No Brasil, a validação de CPF por bancos, fintechs e empresas de cobrança segue lógica semelhante: o parceiro recebe uma credencial legítima e passa a consultar em escala.

O caso dinamarquês mostra o custo dessa assimetria. A credencial era válida, as consultas eram tecnicamente permitidas e o perímetro funcionou como desenhado. O que falhou foi a leitura do comportamento: limites de taxa, alertas para varredura sequencial, revisão periódica do volume consultado por parceiro. São controles baratos perto do que custa notificar milhões de pessoas.

Há ainda um efeito regulatório. A Datatilsynet terá de avaliar não só a administração do CPR, mas também a empresa cuja credencial foi usada. Sob o GDPR, a responsabilidade pelo tratamento não desaparece porque o acesso foi abusado por terceiros, e a conclusão do regulador dinamarquês será lida com atenção por outras autoridades europeias que supervisionam registros populacionais abertos a parceiros privados.

Para o CIO que administra integrações com bases de identidade, a lição é operacional: a auditoria de terceiros que se limita a verificar se o contrato foi assinado não teria impedido nada aqui. A que mede o que cada parceiro consulta, e com que frequência, talvez tivesse encurtado o mês de setembro para algumas horas.