Es habitual pensar en ciberataques complejos, con hackers utilizando código sofisticado para saltarse firewalls o encriptación avanzada. Sin embargo, el caso que acaba de sacudir a Dinamarca nos recuerda una verdad incómoda: muchas veces, la falla de seguridad más crítica no es tecnológica, sino humana. Errores tan cotidianos como reutilizar credenciales, compartir accesos sin control o mantener contraseñas débiles y fáciles de adivinar pueden abrir la puerta a intrusos y comprometer no solo la información de una empresa, sino infraestructuras y servicios considerados críticos para un país.
En septiembre, Dinamarca sufrió la mayor filtración de datos de su historia. Se estima que se expusieron datos personales de casi nueve millones de personas. ¿Cómo fue posible? Según afirma el supuesto atacante en una entrevista con el diario Politiken, la puerta de entrada fue una de las contraseñas más débiles y peligrosas que existen: 123456.
¿Qué datos se vieron comprometidos?
El objetivo no fue una red social ni una tienda online, sino el Registro Central de Población (CPR) de Dinamarca. Este sistema es el «núcleo de la sociedad digital danesa»; creado en 1968, permite a Dinamarca ser uno de los países más digitalizados del mundo.
A través del CPR, los ciudadanos utilizan un número personal único para diversos trámites (bancarios, médicos o gubernamentales). La filtración expuso información personal y confidencial como:
- Nombres completos.
- Direcciones de domicilio.
- Números de la seguridad social.
El número de registros (8,8 millones) supera la población actual del país (6 millones), ya que el registro incluye a las personas fallecidas y daneses que residen en el extranjero.
La falla en la cadena de suministro
El método utilizado por el atacante, se conoce en ciberseguridad como un ataque a la cadena de suministro (supply chain attack).
El pirata informático no intentó entrar directamente al servidor del gobierno danés. En su lugar, identificó a una empresa privada que tenía acceso legal al registro estatal para realizar búsquedas. Según el atacante, esta empresa utilizaba una autenticación débil (sin doble factor de autenticación) y permitía el uso de contraseñas tan evidentes y simples como «123456».
Al comprometer a dicha empresa, el atacante pudo realizar consultas masivas al sistema gubernamental sin que, inicialmente, se activaran las alarmas de seguridad.
¿Cómo se descubrió la filtración?
La detección no fue gracias a un sistema de monitorización proactivo, sino por un detalle administrativo. Jens Myrup Pedersen, catedrático de Ingeniería Informática en la Universidad de Aarhus y fundador de una empresa de ciberseguridad, explicó al diario Politiken que el sistema funciona mediante un modelo de pago por consulta.
Las autoridades se dieron cuenta del desastre, cuando preparaban las facturas mensuales y detectaron una cantidad excepcionalmente elevada de consultas procedentes de una única compañía. «Se paga una pequeña tarifa por cada consulta realizada en el sistema», detalló Pedersen. «Y finalmente se dieron cuenta de que había una cantidad enorme y excepcionalmente elevada de consultas».
Pedersen confirmó a la prensa que «no cabe duda de que la persona que contactó con Politiken dispone de los datos robados» y calificó de «posible» que la clave utilizada fuera precisamente la 123456, lo que denotaría una falta total de políticas de seguridad en la empresa intermediaria.
Respuesta del gobierno y riesgo real
El Gobierno danés, a través de la ministra de Investigación, Educación y Digitalización, Christina Egelund, calificó el incidente como «un incidente de extrema gravedad» en un comunicado emitido el 5 de octubre.
Aunque el gobierno no ha confirmado públicamente la versión del atacante, el riesgo para los ciudadanos ya es tangible. El mayor peligro, según los expertos, no es solo la privacidad, sino el fraude electrónico al que quedan expuestas las personas afectadas.
Jens Myrup Pedersen advierte: «Con esta información puedes contactar a las personas afectadas y decirles que llamas de la policía o del hospital, y convencerles porque conoces su número del CPR, su dirección y su fecha de nacimiento».
El ministerio de Egelund ha aconsejado a la ciudadanía danesa actuar con prudencia ante llamadas o correos de desconocidos, que afirmen conocer sus datos personales.
Lecciones para la seguridad global
Pero, este incidente no es aislado. Expertos internacionales, señalan que la vulnerabilidad de los proveedores terceros es una táctica de alta prevalencia hoy en día y en cualquier país del planeta.
Pedro García Teodoro, catedrático de Ingeniería Telemática en la Universidad de Granada, explicó que este tipo de incidentes ocurren al atacar «a través de proveedores terceros con un nivel de seguridad menor».
Por su parte, la catedrática de Ingeniería Informática de la Universidad de La Laguna, Pino Caballero-Gil, advirtió también sobre el peligro de los intermediarios con permisos excesivos y la falta de alertas para descargas masivas. Citó otros ejemplos globales, como el robo de datos fiscales en Bulgaria (2019) o la filtración de datos de salud en Francia (2025).
Caballero-Gil, extiende la crítica más allá de Dinamarca, señalando que «en España compartimos demasiado el número del DNI y el de la seguridad social en todo tipo de situaciones». El resultado es el mismo: datos que van a parar a bases de datos inseguras, permitiendo a los ciberdelincuentes hacerse pasar por nosotros para cometer estafas posteriormente.
Conclusión
El caso de Dinamarca es una lección magistral sobre por qué la seguridad no es solo responsabilidad del usuario final, ni del gobierno central. La digitalización avanzada, como la que posee Dinamarca, requiere una inversión proporcional en ciberseguridad. Como señaló el propio Pedersen: «No hemos invertido lo suficiente en seguridad. Y esto es un síntoma de ello».
La lección debe ser clara: la autenticación de múltiple factor (MFA) y las políticas de contraseñas robustas no son opcionales. Nuestros datos personales, especialmente los identificadores únicos, son la llave maestra de nuestra identidad digital, y su robo puede tener consecuencias, mucho más allá de una simple intrusión en la privacidad.
Deja una respuesta