Hackers sustrajeron datos del Registro Central de Personas danés: nombres, direcciones y números de identificación de unos 8 millones de personas.
Qué ha pasado
Según TechCrunch, el gobierno de Dinamarca ha reconocido que su base de datos central de ciudadanos fue comprometida y que la mayor parte de su contenido fue extraída. La ministra Christina Egelund calificó el episodio de incidente grave en un comunicado, según el cual los atacantes obtuvieron nombres, direcciones, números de la seguridad social danesa y otra información. El comunicado oficial está publicado en danés.
Se obtuvo acceso no autorizado abusando del acceso legítimo de una empresa danesa para buscar información en el sistema CPR.
Gobierno de Dinamarca, según TechCrunch (traducción editorial)
El CPR contiene el número de identidad con el que los ciudadanos pagan impuestos y acceden a otros servicios. Aunque Dinamarca tiene unos 6 millones de habitantes, la base guarda registros de unos 11 millones de personas, algunos con décadas de antigüedad. Por eso la cifra de afectados incluye a residentes en el extranjero y a fallecidos. Se cree que es la mayor filtración de la historia del país.
Por qué importa
El vector descrito no es un exploit sofisticado, sino el abuso de un acceso legal: algunas empresas danesas pueden consultar el CPR para verificar datos de personas, y esa vía fue la utilizada. Es una lección clásica de seguridad: un sistema central es tan fuerte como el más débil de sus clientes autorizados. Nuestra recomendación editorial para quien gestione accesos de terceros es revisar límites de volumen, registros de consulta y alertas por patrones anómalos.
El caso se suma a otros ataques contra bases nacionales de identidad, como la filtración de 2016 que afectó a millones de ciudadanos turcos y varias exposiciones de datos del sistema indio Aadhaar. Un número de identificación nacional no se puede cambiar con la facilidad de una contraseña, y esos datos pueden alimentar fraudes de suplantación durante años.
Qué no sabemos aún
El gobierno no ha dicho quién está detrás del ataque. Tampoco se ha detallado qué empresa tenía el acceso abusado, cuánto duró la extracción ni qué otros campos incluye la expresión "otra información". Mientras no haya más detalle, conviene separar lo confirmado, que son la brecha, su alcance y el vector, de lo especulativo, que es la autoría y el uso posterior de los datos.
Artículos relacionados de LaRebelión
La seguridad de los agentes de IA se decide durante la ejecución
Citrix parchea un zero-day de NetScaler explotado que tumba despliegues SAML
TA419 usa phishing AitM contra expertos de IA en Estados UnidosFuente original: techcrunch.com
Elaborado con apoyo de IA y revisado por la redacción
Comentarios
Publicar un comentario