CPR danés: 8,8 millones de registros con el acceso de una empresa

Hace unos días contamos el acceso no autorizado al registro central de población de Dinamarca, el CPR, y las recomendaciones de las autoridades sobre los controles de identidad. Ahora se sabe también cómo se produjo el acceso: quien actuó no forzó el sistema, sino que usó el acceso legítimo de una empresa privada danesa autorizada a consultar el registro. Según los medios que han seguido el caso, se hicieron más de 14 millones de búsquedas, que devolvieron los datos de unas 8,8 millones de personas.

Para quien se ocupa de la seguridad, el caso trata un tema concreto: el control de los accesos concedidos a proveedores y socios.

Qué ha pasado

El comunicado del ministerio danés competente en digitalización, del 5 de octubre de 2026, indica que la administración del CPR detectó una actividad irregular el 2 de octubre y determinó el alcance del acceso durante el fin de semana. Las búsquedas se remontan a septiembre: según CSO Online, duraron unos 10 días.

Los datos expuestos que cita el ministerio son nombres, direcciones y números CPR. El número de personas afectadas supera la población danesa, de unos 6 millones, porque el registro contiene unos 11 millones de registros, incluidas las personas fallecidas o que se han ido al extranjero. En el CPR figuran también más de 55.000 personas residentes en Groenlandia, que usan el número CPR para sanidad, impuestos y bancos. El ministerio precisa que los nombres y direcciones de quienes pidieron la protección de la dirección no quedaron expuestos.

El acceso de la empresa, que no ha sido nombrada, ha sido bloqueado. Se ha informado a la autoridad danesa de protección de datos y la policía investiga: CSO Online menciona la unidad nacional de delitos especiales. Los responsables no han sido identificados y está en marcha una revisión más amplia de la seguridad del sistema CPR.

Detalles técnicos: un acceso legítimo usado sin medida

El punto central está en el comunicado del ministerio: las personas no autorizadas usaron el acceso legal de una empresa privada para buscar información en el CPR dentro de los límites de los datos permitidos a las empresas privadas. Es decir, las búsquedas no superaron los permisos de la cuenta: lo anómalo fue su volumen.

Las empresas privadas pueden recibir datos del CPR en virtud de la ley danesa del registro civil y de las condiciones de acceso del ministerio. Como informa The Register, esas condiciones establecen que el acceso se refiera a un grupo de personas definido e identificado de antemano, y que quien recibe los datos esté autorizado a tratarlos según el RGPD. Las fuentes no explican cómo una sola cuenta pudo hacer millones de búsquedas; The Register ha pedido aclaraciones al ministerio.

Con lo que se sabe hasta ahora, el esquema encaja en dos técnicas de MITRE ATT&CK: Valid Accounts (T1078), el uso de credenciales o accesos válidos, y Trusted Relationship (T1199), la entrada a través de un tercero con acceso legítimo. No hay CVE ni indicadores de compromiso públicos.

Lo que queda por aclarar

Las fuentes no dicen cómo se obtuvo el acceso de la empresa. The Register habla de abuso del acceso legítimo y CSO Online de credenciales de acceso explotadas por terceros: ninguna indica si se trata de credenciales robadas, de una cuenta comprometida o de un abuso interno. La ministra de Digitalización, Christina Egelund, describió la empresa como «pequeña» y dijo que es pronto para decidir si se asignarán nuevos números CPR, una de las soluciones propuestas.

Impacto para las empresas europeas e italianas

El caso muestra un riesgo que afecta a cualquier organización: un proveedor con acceso a un sistema sensible puede convertirse en la vía de entrada sin superar ningún control técnico, porque el acceso es legítimo. Vale tanto para los grandes registros públicos como para los ERP, los CRM y las plataformas de datos de las empresas abiertos a socios, consultores e integradores.

Para las entidades sujetas a NIS2, la seguridad de la cadena de suministro y el control de accesos están entre las medidas de gestión de riesgos que exige la directiva. En la sanidad, donde los proveedores acceden a menudo a datos de pacientes, el tema es aún más delicado.

Está además el efecto posterior, ya tratado en nuestro primer artículo: los datos personales sustraídos pueden servir para estafas y para eludir controles de identidad débiles. Las autoridades danesas piden no basarse solo en el número CPR y usar MitID, la autenticación de dos factores o códigos de un solo uso. En Italia lo mismo vale para el nombre, la dirección y el código fiscal: no son un secreto.

Qué hacer ya

1. Haz el inventario de los accesos de terceros: qué proveedores y socios acceden a qué sistemas y datos, con qué cuentas y desde qué direcciones.
2. Limita el acceso a lo necesario: para cada proveedor, define qué datos puede ver y, cuando sea posible, sobre qué personas o expedientes, como prevén en teoría las condiciones del CPR.
3. Pon límites de volumen: fija umbrales de frecuencia para las consultas y las API, y bloquea o señala las cuentas que los superen.
4. Conoce el comportamiento normal: registra cuántas búsquedas hace normalmente cada cuenta externa y revisa los picos, las búsquedas fuera de horario y las consultas en secuencia.
5. Refuerza la autenticación: autenticación multifactor, sesiones cortas y credenciales propias para cada usuario del proveedor, no cuentas compartidas.
6. Revisa a los proveedores a lo largo del tiempo, no solo al inicio del contrato, y prevé en tu plan de respuesta a incidentes cómo revocar rápidamente un acceso externo.

Cómo ayuda ARXDOME

ARX Sentry recoge registros y eventos de servidores y firewalls y, en las páginas del SOC dedicadas a las identidades, muestra accesos, accesos privilegiados, accesos nocturnos y ráfagas de intentos: datos útiles para vigilar las cuentas que usan proveedores y socios. ARX Retain conserva los registros durante los años necesarios, para que en una investigación puedas reconstruir qué hizo una cuenta y cuándo.

Última actualización: 7 de octubre de 2026