Dinamarca ha confirmado una brecha de datos masiva que afecta a su Registro Central de Población, conocido como CPR, después de que personas no autorizadas accedieran a registros personales pertenecientes a unos 8,8 millones de personas. La información expuesta incluye nombres, direcciones y números de CPR, según un comunicado oficial publicado el 5 de octubre de 2026.

La cifra supera la población de Dinamarca, que es de aproximadamente seis millones, porque el registro también contiene datos de personas que se han mudado al extranjero y de aquellas que han fallecido. Las autoridades indicaron que el sistema CPR contiene actualmente unos 11 millones de personas registradas, lo que significa que el incidente afectó a una gran parte de sus registros.

Cómo accedieron los atacantes a los registros del CPR

Los atacantes hicieron un mal uso del acceso legal de una empresa privada danesa para buscar en el sistema CPR durante septiembre. Las autoridades no han descrito cómo las partes no autorizadas obtuvieron o utilizaron dicho acceso, por lo que el método de entrada inicial sigue siendo desconocido.

La ruta confirmada es importante: se trató del mal uso de una conexión empresarial aprobada, no de un fallo de software confirmado públicamente en el registro. El ministerio no ha revelado el nombre de la empresa, ni ha vinculado el incidente con ningún grupo de amenazas conocido, ni ha identificado una vulnerabilidad específica.

Bajo la Sección 38 de la Ley de Registro Civil de Dinamarca, las empresas privadas con un interés legítimo pueden recibir cierta información del CPR sobre un grupo definido de personas identificadas previamente. También deben cumplir los requisitos del Reglamento General de Protección de Datos y la Ley de Protección de Datos de Dinamarca.

Estas reglas no proporcionan acceso irrestricto a los registros de todo el mundo. Los investigadores aún están analizando cómo se hizo un mal uso del acceso permitido de la empresa a esta escala y si nuevos hallazgos cambiarán los detalles informados.

La administración del CPR se percató de un comportamiento inusual del sistema el viernes por la noche, 2 de octubre. Durante el fin de semana siguiente, los funcionarios establecieron que personas no autorizadas habían accedido a información que abarca aproximadamente a 8,8 millones de personas registradas.

Las autoridades bloquearon el acceso de la empresa y contrataron a especialistas para mapear el incidente. La administración también informó de la brecha a la Autoridad de Protección de Datos de Dinamarca. La policía está investigando junto con otras autoridades pertinentes, pero la indagación se encuentra en una fase temprana.

La Ministra de Investigación, Educación y Digitalización, Christina Egelund, describió el incidente como profundamente grave. Informó al Comité de Negocios y Digitalización del Parlamento y solicitó una revisión exhaustiva de la seguridad del CPR. Los funcionarios dijeron que las medidas preventivas ya habían comenzado, sin detallar su alcance técnico.

La revisión encontró que los nombres y direcciones de las personas registradas con protección de nombre y dirección no fueron incluidos en el acceso no autorizado. Este hallazgo no debe interpretarse como una confirmación de que cada campo de datos de esas personas permaneciera intacto.[ufm]

Riesgos de ataques de phishing

Los nombres, direcciones y números de identificación nacional pueden hacer que los mensajes y llamadas fraudulentas parezcan convincentes. La cobertura de la brecha de datos del Pentágono resalta similarly los riesgos cuando los registros personales incluyen números de identidad, mientras que las guías de prevención de phishing explican las señales de advertencia comunes.

Las autoridades danesas te advierten que no compartas contraseñas u otra información confidencial a través de llamadas o correos electrónicos inesperados, incluso cuando el remitente ya conozca tu nombre, dirección y número de CPR. Conocer esos detalles no demuestra que quien llama represente a una organización de confianza.

Puedes buscar orientación oficial a través de Sikkerdigital o llamar a la Cyberhotline para seguridad digital al +45 33 37 00 37. La línea directa ha ampliado su horario de apertura de 8 a.m. hasta la medianoche en los próximos días. Las autoridades aún no han identificado públicamente quién llevó a cabo la brecha, y las circunstancias completas siguen bajo investigación.