Dinamarca: acceso no autorizado al CPR y controles de identidad

El 5 de octubre de 2026 las autoridades danesas comunicaron un grave incidente de seguridad en el registro central de población, el CPR (Det Centrale Personregister). Personas no autorizadas obtuvieron acceso a nombres, direcciones y números CPR, entre otros datos, de una cantidad muy grande de ciudadanos registrados. Al día siguiente la agencia danesa Styrelsen for Samfundssikkerhed (SAMSIK), de la que forma parte el centro nacional de ciberseguridad CFCS, pidió a organismos públicos, organizaciones y empresas que revisaran de inmediato los controles de identidad basados en esos datos.

Para quien gestiona la seguridad y los procesos de una empresa, el punto técnico es este: un dato personal, aunque sea oficial, no es un factor de autenticación. Cuando cae en manos de terceros, cualquier proceso que lo use como prueba de identidad se puede eludir.

Qué ha pasado

Según el aviso de SAMSIK del 5 de octubre, el incidente lo comunicó en una nota de prensa el Ministerio danés de Investigación, Educación y Digitalización (Forsknings-, Uddannelses- og Digitaliseringsministeriet). El acceso se produjo a través del sistema CPR y se calificó como no autorizado.

El aviso subraya que los datos personales pueden usarse en intentos de fraude y pide prudencia a organismos y ciudadanos. A los ciudadanos los remite a los consejos del portal nacional Sikkerdigital.dk.

El 6 de octubre SAMSIK publicó un segundo aviso, dirigido a organismos públicos, organizaciones y empresas: ninguna información sensible debe facilitarse ya solo a partir de los datos del CPR.

Qué se sabe y qué no

Los avisos publicados hasta ahora son escuetos. A continuación, lo que dicen y lo que no dicen.

• Datos afectados: nombres, direcciones y números CPR, además de otros datos no especificados («mv.», es decir, «etcétera», en el texto original).
• Personas afectadas: «una cantidad muy grande» de ciudadanos registrados. No se indica ninguna cifra.
• Forma de acceso: los avisos no describen el vector, los plazos ni quién obtuvo el acceso. No hay CVE ni indicadores públicos.
• Riesgo señalado por las autoridades: el uso de los datos para fraudes y para obtener información o cambios en nombre de los ciudadanos.

Sin detalles sobre cómo se produjo el acceso, no es posible una correspondencia con las técnicas de MITRE ATT&CK. Las recomendaciones de SAMSIK se centran en el después: cómo evitar que los datos sustraídos se conviertan en una llave para acceder a los servicios.

Las recomendaciones de SAMSIK

La agencia pide prestar especial atención a todas las situaciones en las que el número CPR, el nombre o la dirección sirven para confirmar la identidad de una persona. Como regla de partida, el control debe basarse en información distinta de la del CPR, o en el historial de contactos entre la persona y el organismo o la empresa. Esto vale sobre todo cuando se comparten datos personales sensibles o cuando la solicitud puede tener consecuencias económicas para el ciudadano.

En concreto, SAMSIK recomienda:

1. remitir a la persona al acceso autenticado en un sistema de autoservicio, por ejemplo con MitID, la identidad digital danesa;
2. enviar un código de un solo uso a un número de teléfono o a una dirección de correo ya registrados;
3. hacer preguntas de control ligadas a la relación concreta, no a datos que puedan haber sido sustraídos: para una empresa, el número de cliente, el número de contrato o la última factura; para un organismo público, la dirección anterior o el último contacto y el expediente en curso;
4. devolver la llamada a un número ya registrado, no al que se haya facilitado durante el contacto;
5. pedir la presencia física con un documento para cambios especiales de carácter económico o de seguridad;
6. introducir un control manual o un periodo de espera para los cambios con efectos económicos o de seguridad.

Impacto para las empresas europeas e italianas

El incidente afecta directamente a quien tiene clientes, usuarios o empleados en Dinamarca: bancos, aseguradoras, operadores de telecomunicaciones, suministros, sanidad y comercio electrónico que verifican a las personas por nombre, dirección y número CPR deben aplicar ya las recomendaciones.

Pero el principio vale en todas partes. También en Italia muchos procesos confirman la identidad con datos personales: nombre, dirección, fecha de nacimiento, código fiscal. Ocurre en los centros de llamadas, en los chats de asistencia, en las ventanillas y en el servicio de soporte informático interno, cuando un usuario pide restablecer la contraseña o registrar un nuevo dispositivo para la autenticación multifactor. Son datos que circulan por muchos sistemas y documentos: no hay que tratarlos como un secreto.

Para las entidades sujetas a NIS2, el tema entra en las medidas de gestión de riesgos que exige la directiva, que incluyen las políticas de control de acceso y la autenticación multifactor. En la sanidad, donde las solicitudes suelen afectar a datos de salud, verificar la identidad antes de facilitar información es aún más delicado.

Qué hacer ya

1. Haz el inventario de los canales: teléfono, correo, chat, ventanilla, portales y soporte interno. Para cada uno, anota cómo se verifica la identidad.
2. Localiza los controles débiles: marca los procesos en los que bastan datos personales para obtener información, cambiar un contacto, un IBAN o una dirección, o restablecer credenciales o factores de autenticación.
3. Aplica los seis controles de SAMSIK: acceso autenticado, código de un solo uso a un contacto ya registrado, preguntas sobre la relación, devolución de llamada, presencia física en los casos críticos, control manual o periodo de espera.
4. Protege el soporte informático: para restablecer contraseñas y MFA, exige una verificación que no se base en datos personales, como la devolución de llamada a un número registrado o la confirmación del responsable.
5. Registra y revisa los cambios: lleva un registro de los cambios de contactos, datos bancarios y cuentas, y revisa los que sean muy seguidos o inusuales.
6. Prepara al personal: avisa a quien atiende a los clientes de que son posibles intentos de fraude con datos personales reales.

Cómo ayuda ARXDOME

ARX Expose señala las cuentas de la empresa implicadas en filtraciones y los dominios parecidos al tuyo registrados por otros, a menudo usados en fraudes. ARX Sentry recoge los registros de servidores y cortafuegos y muestra en las páginas del SOC los accesos fallidos, las ráfagas de intentos y los cambios en las cuentas, útiles para detectar un restablecimiento obtenido con engaño.

Última actualización: 6 de octubre de 2026