La clave "123456" de una empresa expuso a 8,8 millones de personas en Dinamarca

Al menos tres cuentas de Pays ApS, una empresa informática de Odense con acceso autorizado al registro civil de Dinamarca, usaban la contraseña "123456". Una de ellas era la del administrador. Con esa puerta abierta, un hacker anónimo copió los datos asociados a casi 8,8 millones de números de identidad daneses, según reveló el diario Politiken.

El registro es el CPR, el Registro Central de Personas, que guarda el número personal que cada residente usa para casi cualquier trámite en Dinamarca, desde el médico hasta el banco. Politiken contó 8.749.975 registros con nombre, dirección y número CPR: unos 5,5 millones de personas vivas y 3,3 millones de fallecidas.

El registro nunca fue atacado

El hacker no rompió los sistemas del Estado. Usó el acceso legal de Pays, una de las empresas privadas que pueden consultar el CPR porque tienen una necesidad legítima, como verificar la dirección de sus clientes. Pays tenía dos empleados registrados en julio, según el registro comercial danés citado por The Copenhagen Post.

Según su propio relato a Politiken, el hacker entró con una contraseña filtrada de un ex empleado de la empresa y armó dos programas para consultar números CPR y guardar los resultados fuera del sistema. Nada de eso está confirmado por un informe forense. Las cifras oficiales sí muestran la escala: con las credenciales de Pays se hicieron unos 14 millones de búsquedas.

El acceso empezó el 10 de septiembre y se cortó el 2 de octubre, 21 días y 17 horas después. La oficina del CPR informó a Datatilsynet, la autoridad danesa de protección de datos, que la actividad indebida habría terminado el 20 de septiembre. El hacker dice que todo ocurrió el 11. Las fechas todavía no coinciden.

La alarma no la dio ningún sistema de monitoreo. Las autoridades detectaron el problema cuando Pays recibió una factura inusualmente alta por las consultas.

Una empresa de dos empleados y un registro nacional

Sophie Laursen, directora y dueña de Pays, confirmó a la cadena TV 2 que el acceso de la empresa fue usado de forma indebida. "Podemos confirmar que somos la empresa que sufrió un ataque", dijo. La compañía informó a la oficina del CPR que no hizo esas búsquedas.

El Ministerio de Investigación, Educación y Digitalización anunció la filtración. La ministra Christina Egelund reconoció que las medidas de seguridad no alcanzaron, pidió una revisión y dijo que espera dar pronto detalles sobre el futuro del sistema. Jens Myrup Pedersen, profesor de la Universidad de Aarhus, dijo que la seguridad de las contraseñas de Pays no tenía remedio y que era "una puerta abierta".

El hacker aseguró a Politiken que no piensa vender ni publicar los datos. Dijo que lo sorprendieron las fallas de seguridad y las comparó con una valija de plutonio olvidada en una estación de tren. Que no los venda no borra las copias que ya existen. Hasta ahora, ninguna fuente informó que los datos se hayan usado para fraudes.

Lo que conviene revisar

El caso muestra un punto débil que no depende del Estado: cada empresa autorizada a consultar un registro sensible es una entrada a ese registro. Los especialistas citados por Cyber Security News recomiendan bloquear las contraseñas comunes, exigir autenticación multifactor, dar de baja las cuentas de ex empleados apenas se van, limitar cada acceso a los datos que de verdad necesita y generar alertas ante volúmenes de búsqueda o descargas fuera de lo normal. El permiso de un proveedor se revisa en forma periódica, no se otorga para siempre.

La revisión pedida por Egelund decidirá si las empresas privadas siguen consultando el CPR en las mismas condiciones.