Los medios daneses han informado de la filtración de datos personales de 8,8 millones de ciudadanos. El origen fueron unas cuentas poco protegidas en una pequeña empresa tecnológica a través de la cual el atacante accedió al Registro Central de Personas de Dinamarca (CPR). El hacker, que ha reivindicado el ataque, asegura que utilizó el password «123456», asignado al menos a tres cuentas de la empresa, incluida la del administrador.
Fuente de la imagen: unsplash.com
El 5 de octubre, la administración del CPR confirmó la filtración de datos de 8,8 millones de personas y señaló que se había hecho un uso indebido de un acceso legal de una empresa danesa al sistema del registro. El nombre de la compañía, Pays ApS, con sede en la isla de Fionia, no se hizo público oficialmente, pero el 9 de octubre sus responsables confirmaron la vulneración del acceso.
Pays disponía de acceso autorizado al sistema CPR para prestar servicios de información, como la verificación de datos de clientes corporativos. Según documentos que han salido a la luz, el atacante accedió al sistema CPR el 10 de septiembre y, hasta el 20 de septiembre, realizó 14 millones de consultas automatizadas. El ataque se detectó el 2 de octubre, doce días después de que se registraran las últimas consultas.
El ataque se descubrió después de que un empleado del Ministerio de Educación Superior y Ciencia llamara la atención sobre una actividad inusualmente alta de Pays. La Agencia Danesa de Protección de Datos (Datatilsynet) fue notificada el 4 de octubre y, al día siguiente, el Gobierno reconoció oficialmente el ciberataque.
Según el Gobierno danés, se accedió a información de 8,8 millones de personas. La población del país ronda los 6 millones de habitantes. En total, el registro contiene unos 11 millones de entradas, incluidas las de personas fallecidas y las que han emigrado. El Gobierno no ha respondido a las preguntas sobre los supuestos problemas de seguridad de los passwords.
La web de Pays está actualmente fuera de servicio. Un portavoz de la empresa ha declinado hacer comentarios. El hacker ha declarado al medio danés Politiken que no tenía intención de vender ni publicar los datos obtenidos.