La débil contraseña “123456” expuso datos de 8,8 millones de personas

TechRadar informa de que un atacante accedió a datos del Registro Central de Personas de Dinamarca (CPR) supuestamente usando la contraseña “123456” de un antiguo empleado. Según el medio, el incidente de septiembre de 2026 afectó a información de 8,8 millones de personas.

CPR dijo que alguien obtuvo acceso no autorizado al abusar del permiso legítimo de una empresa danesa para buscar información en el registro. Las empresas privadas pueden consultar datos de grupos limitados de personas que hayan identificado previamente. En su comunicado inicial, CPR no identificó al atacante ni a la empresa y señaló que la investigación seguía abierta y que había tomado medidas para reforzar la seguridad.

Medios daneses identificaron después a la empresa como Pays ApS, dato que confirmó su directora gerente, Sophie Laursen. TV 2 informó de que el atacante realizó 14 millones de búsquedas automatizadas en diez días. La actividad se detectó cuando un empleado público observó un número inusualmente alto de búsquedas en el registro de actividad de Pays. El sitio web de Pays se desconectó temporalmente y funcionaba con normalidad cuando TechRadar publicó su artículo.

Politiken dijo haber hablado con el atacante, cuya identidad no se reveló. Según el medio, afirmó que utilizó las credenciales de acceso de un antiguo empleado y creó dos scripts para transferir datos de CPR a un sistema de terceros. También dijo que tres cuentas usaban la misma contraseña y que no tenía intención de filtrar ni vender los datos. El investigador de ciberseguridad Emil Hørning declaró a la publicación que el relato parecía creíble y los métodos descritos eran plausibles. TechRadar indica que CPR conserva unos 11 millones de registros, incluidos los de personas fallecidas y residentes en el extranjero.