La contraseña 123456 es poco recomendable para una cuenta de Netflix o de banco, pero aún menos cuando es la clave para acceder a una base de datos de todos los ciudadanos de un país. Ha sido el caso de Dinamarca. Unos ciberdelincuentes descargaron en septiembre los nombres, direcciones y números de seguridad social de casi nueve millones de daneses, un número superior incluso a la población, que es de seis millones, porque incluye también a personas ya fallecidas o habitantes en el extranjero, en la mayor filtración de datos de la historia del país. El supuesto pirata informático afirma ahora en una entrevista con el diario danés Politiken que accedió al Registro Central de Población (CPR, por sus siglas en inglés) tras probar la combinación 123456 como credencial de una empresa privada que tenía acceso legal a la base de datos.
En declaraciones al diario danés ‘Politiken’, el supuesto atacante afirma haber accedido a una base de datos estatal a través de esa clave. Es la mayor filtración de la historia del país
La contraseña 123456 es poco recomendable para una cuenta de Netflix o de banco, pero aún más cuando es la clave para acceder a una base de datos de todos los ciudadanos de un país. Ha sido el caso de Dinamarca. Unos ciberdelincuentes descargaron en septiembre los nombres, direcciones y números de seguridad social de casi nueve millones de daneses, un número superior incluso a la población, que es de seis millones, porque incluye también a personas ya fallecidas o habitantes en el extranjero, en la mayor filtración de datos de la historia del país. El supuesto pirata informático afirma ahora en una entrevista con el diario danés Politiken que accedió al Registro Central de Población (CPR, por sus siglas en inglés) tras probar la combinación 123456 como credencial de una empresa privada que tenía acceso legal a la base de datos.
El incidente tuvo lugar sin que saltara ninguna alarma, algo que ha sorprendido a los expertos. Jens Myrup Pedersen, catedrático de Ingeniería Informática de la Universidad de Aarhus del país nórdico, explica por llamada telefónica que las autoridades solo se dieron cuenta de la filtración a principios de este mes, cuando preparaban las facturas mensuales para las empresas con permiso para realizar búsquedas en el registro estatal. “Se paga una pequeña tarifa por cada consulta realizada en el sistema”, relata Pedersen. “Y finalmente se dieron cuenta de que había una cantidad enorme y excepcionalmente elevada de consultas”, todas precedentes de una misma compañía.
El Gobierno danés no ha confirmado la versión del supuesto ciberdelincuente, ni ha aclarado si actuó como lobo solitario. La ministra de Investigación, Educación y Digitalización, Christina Egelund, alertó el 5 de octubre en un comunicado de que se trata de “un incidente de extrema gravedad” que se está investigando. Su ministerio aconseja a la ciudadanía danesa que actúe con prudencia ante llamadas telefónicas o correos electrónicos de personas desconocidas que aseguran conocer sus datos personales. Los daneses usan el número del CPR como un identificador personal para todo tipo de trámites, explica Pedersen.
La persona anónima entrevistada por Politiken cuenta que descargó los datos de los 8,8 millones de personas registradas en la plataforma a través de la empresa privada, a la que se saltó con la contraseña ‘123456’. Pedersen, que también es el fundador de una compañía de ciberseguridad, fue consultado por el periódico danés sobre los métodos de la filtración. “No me cabe duda de que la persona que contactó con Politiken dispone de los datos robados”, subraya el profesor. Aunque no ha podido verificar si el ciberdelincuente lo hizo con la clave ‘123456’, lo califica de “posible”.
Pero Pedersen sí cree que “es probable” que sea la mayor filtración de información personal jamás registrada en Dinamarca. El riesgo principal para los daneses es el fraude electrónico, afirma. “Con esta información puedes contactar a las personas afectadas y decirles que llamas de la policía o del hospital, y convencerles porque conoces su número del CPR, su dirección y su cumpleaños”, advierte.
Pedro García Teodoro, catedrático de Ingeniería Telemática de la Universidad de Granada, señala por correo electrónico que el incidente en Dinamarca “se conoce como un ataque a la cadena de suministro (supply chain) porque conlleva realizar un ataque a través de proveedores terceros con un nivel de seguridad menor”. Es una táctica “de una alta prevalencia a fecha de hoy”, agrega. Pedersen apunta a la falta de autenticación de múltiples factores en la compañía infiltrada como una causa principal del robo. “Pero claro, el uso de la contraseña ‘123456’ demostraría que la empresa carecía de políticas de seguridad”, enfatiza.
El experto danés considera “increíble” que la descarga masiva de registros no hiciera saltar las alarmas del sistema estatal. El CPR, el “núcleo de la sociedad digital danesa”, se creó en 1968, lo que convirtió a Dinamarca en “uno de los países más digitalizados del mundo”, según Pedersen. “Pero no hemos invertido lo suficiente en seguridad”, critica. “Y esto es un síntoma de ello”.
Pino Caballero-Gil, catedrática de Ingeniería Informática de la Universidad de La Laguna en Tenerife, alerta por correo electrónico de que “el peligro más habitual en la práctica está en los intermediarios con permisos y en la falta de alertas para detectar descargas masivas”. La profesora cita el caso de Bulgaria, que sufrió el robo de datos fiscales de cinco millones de personas en 2019, y Francia, donde se filtraron los datos de salud de 15 millones de pacientes en 2025, como otros ejemplos del problema.
“En España compartimos demasiado el DNI y el número de la seguridad social en todo tipo de situaciones”, añade Caballero-Gil. “El problema es que esos y otros datos asociados van a parar a bases de datos inseguras, y luego los ciberdelincuentes los usan para hacerse pasar por ti y cometer estafas”.
Tecnología en EL PAÍS
