Una empresa danesa con acceso legítimo al CPR de Dinamarca se convirtió, sin saberlo, en la puerta de entrada para que terceros no autorizados accedieran a los datos de 8,8 millones de personas: nombres, direcciones y números de identificación completos.
La administración del registro ya cortó el acceso de la compañía implicada, denunció el caso ante el Datatilsynet (la autoridad danesa de protección de datos) y la policía investiga junto a otras agencias, según el comunicado publicado el 5 de octubre de 2026.
TL;DR
- El CPR de Dinamarca confirmó una brecha que expuso los datos de 8,8 millones de personas por el abuso del acceso legítimo de una empresa.- Los datos filtrados incluyen nombres, direcciones y números de identificación CPR completos.- Las personas con protección de nombre y dirección activada quedaron fuera del acceso no autorizado.- La administración del CPR revocó el acceso de la empresa implicada y denunció el caso ante Datatilsynet.- Policía danesa coordina la investigación con otras autoridades tras el aviso publicado el 5 de octubre de 2026.
Qué es el CPR de Dinamarca
El CPR de Dinamarca es el registro civil centralizado que asigna y administra el número de identificación personal de cada residente del país desde 1968. Lo opera la administración pública danesa y lo consultan bancos, aseguradoras, hospitales y agencias de gobierno para verificar identidad y domicilio.
Qué pasó con el registro civil danés
Según el comunicado oficial, el equipo del CPR detectó que terceros no autorizados habían obtenido acceso a nombres, direcciones y números de identificación de aproximadamente 8,8 millones de personas registradas en el sistema. El vector no fue una falla del propio CPR, sino el abuso del acceso que una empresa danesa tenía de forma legal para consultar el registro.
La revisión posterior mostró un matiz importante: las personas que habían activado la protección de nombre y dirección (una opción que existe en Dinamarca para casos de riesgo, como víctimas de violencia doméstica) no quedaron expuestas en nombre ni dirección. Eso reduce el daño, pero no lo elimina, porque el número CPR en sí mismo sigue siendo un identificador sensible en prácticamente cualquier trámite danés.
El registro CPR existe en Dinamarca desde 1968 y asigna un número a cada residente.
La administración del Det Centrale Personregister actuó en tres frentes apenas confirmó el incidente: cortó el acceso de la empresa involucrada, presentó una denuncia formal ante el Datatilsynet y puso el caso en manos de la policía, que investiga en coordinación con otras autoridades. El Ministerio de Investigación, Educación y Digitalización publicó un comunicado paralelo confirmando los mismos hechos.
Contexto: por qué el número de identificación personal pesa tanto en Dinamarca
El sistema CPR no es un trámite burocrático más: es la columna vertebral de la identidad digital danesa. Cada persona que nace, se muda al país o solicita residencia recibe un número CPR, y ese número queda vinculado a casi todo: cuentas bancarias, historial médico, declaración de impuestos, matrícula escolar y la firma digital MitID que reemplazó a NemID. Un banco no abre una cuenta sin él, un hospital no agenda una cita sin él, y una universidad no inscribe a un alumno sin él.
Esa centralización es la misma razón por la que una filtración del censo nacional de Dinamarca pesa más que una filtración equivalente en un país donde el identificador fiscal y el identificador de salud son sistemas separados. Si el número CPR se combina con un nombre y una dirección, alguien puede intentar suplantar identidad en trámites bancarios, solicitar servicios en nombre de otra persona o montar campañas de phishing dirigidas con datos reales, no inventados.
Detalles técnicos: cómo un acceso legítimo terminó filtrando el sistema CPR
El comunicado oficial no detalla el mecanismo exacto con el que los atacantes abusaron del acceso, y el artículo no puede inventarlo donde la fuente no lo dice. Lo que sí confirma es la estructura general del problema: empresas danesas (bancos, aseguradoras, administradoras de crédito) tienen derecho legal a consultar la base de datos CPR para verificar identidad de sus clientes, y ese canal de acceso corporativo fue el punto que explotaron terceros no autorizados.
Ese patrón es el clásico punto ciego del control de acceso basado en confianza implícita: una credencial emitida una vez para un propósito legítimo (verificar identidad caso por caso) se convierte en un riesgo sistémico si nadie vuelve a preguntarse, de forma continua, si ese acceso sigue siendo seguro y se está usando como se autorizó.
sequenceDiagram
participant E as Empresa autorizada
participant A as API de consulta del CPR
participant T as Terceros no autorizados
E->>A: Consulta con credenciales legitimas
A-->>E: Devuelve nombre, direccion y numero CPR
T->>E: Explotan el acceso de la empresa
E-->>T: Exponen datos de 8.8 millones de registros
Note over A,T: La administracion corta el acceso y denuncia el caso
La tabla siguiente resume qué cambió entre el momento anterior a que se detectara el incidente y lo que la administración del CPR hizo después del aviso del 5 de octubre de 2026:
AspectoAntes de detectarse el incidenteDespués del aviso del 5 de octubre de 2026Acceso de la empresa implicadaActivo y autorizado para consultar el registro civil danésRevocado por la administración del CPRAlcance de los datos expuestosNombres, direcciones y números CPR de personas sin protección de datosBajo investigación de Datatilsynet y la policía danesaComunicación públicaSin aviso previo a los ciudadanos afectadosComunicado oficial publicado en cpr.dk y ufm.dkEl Datatilsynet es la autoridad danesa que vigila el cumplimiento del RGPD.
📌 Nota: el comunicado no identifica públicamente a la empresa cuyo acceso fue abusado, lo que dificulta que terceros auditen de forma independiente qué controles fallaron.
Impacto y análisis
8,8 millones es una cifra que supera con holgura a la población actual de Dinamarca. Eso no es una contradicción: la base de datos CPR de Dinamarca acumula, desde 1968, a todas las personas que alguna vez tuvieron un número de identificación en el país, incluidas personas fallecidas y extranjeros que residieron allí en algún momento. Por eso el universo expuesto es histórico, no solo el de los residentes actuales.
Para desarrolladores y equipos de seguridad que operan integraciones con registros gubernamentales o bases de identidad en LATAM (RENIEC en Perú, RENAPER en Argentina, el Registro Civil en México o Colombia), el caso vale como recordatorio concreto: una integración B2B bien intencionada, pensada para verificar identidad caso por caso, puede convertirse en un vector de exfiltración masiva si nadie limita el volumen de consultas por credencial ni monitorea patrones anómalos.
El riesgo no termina en la filtración misma. Un número CPR combinado con nombre y dirección es suficiente para intentar fraude de identidad en trámites bancarios o solicitar servicios en nombre de otra persona, así que el daño potencial se extiende más allá del momento de la brecha.
Qué sigue tras la filtración del registro CPR
El Datatilsynet, la autoridad danesa de protección de datos, ya tiene el caso abierto y deberá determinar si hubo incumplimientos del Reglamento General de Protección de Datos (RGPD) de la Unión Europea, que aplica a Dinamarca como estado miembro. Una sanción bajo RGPD puede llegar hasta el 4% de la facturación global anual de la parte responsable, aunque todavía no hay un monto ni una empresa sancionada de forma pública.
En paralelo, la policía danesa investiga junto a otras agencias para identificar a los terceros no autorizados y reconstruir cómo lograron abusar del acceso corporativo. Es previsible que, como ocurrió en otras brechas de registros gubernamentales, la administración del CPR anuncie en las próximas semanas controles adicionales sobre cómo las empresas privadas consultan el sistema: límites de volumen, auditoría continua o renovación periódica de credenciales.
📖 Resumen en Telegram: Ver resumen
Si administrás una integración con un registro de identidad externo, revisá hoy mismo qué volumen de consultas permite tu credencial y si existe alguna alerta automática ante picos inusuales: es el control que, según el propio caso del CPR, marcó la diferencia entre detectar el abuso a tiempo o no.
Preguntas frecuentes
¿Qué datos personales expuso la brecha del registro civil danés?
Nombres, direcciones y números de identificación CPR de personas registradas, según el comunicado oficial del 5 de octubre de 2026.
¿Quiénes quedaron excluidos de la filtración del sistema CPR?
Las personas que habían activado la protección de nombre y dirección, una opción que Dinamarca ofrece a quienes están en situación de riesgo.
¿Qué hizo la administración del CPR tras detectar el acceso no autorizado?
Cortó el acceso de la empresa implicada, denunció el caso ante el Datatilsynet y lo puso en manos de la policía danesa.
¿Por qué el número de identificación personal es tan sensible en Dinamarca?
Porque está vinculado a casi todos los trámites del país: banca, salud, impuestos y la firma digital MitID, entre otros.
¿Qué autoridades investigan el caso del censo nacional de Dinamarca?
El Datatilsynet (protección de datos) y la policía danesa, en coordinación con otras agencias según el comunicado oficial.
Referencias
- CPR.dk: comunicado oficial sobre el acceso no autorizado a los datos de 8,8 millones de personas.- UFM.dk: comunicado del Ministerio de Investigación, Educación y Digitalización de Dinamarca sobre el incidente.- Datatilsynet: sitio de la autoridad danesa de protección de datos, encargada de investigar el caso.- Wikipedia: historia y funcionamiento del número de identificación personal danés.- GDPR.eu: referencia sobre el Reglamento General de Protección de Datos aplicable a Dinamarca como miembro de la UE.
📱 ¿Te gusta este contenido? Únete a nuestro canal de Telegram @programacion donde publicamos a diario lo más relevante de tecnología, IA y desarrollo. Resúmenes rápidos, contenido fresco todos los días.
Top comments (0)