En Dinamarca se filtran datos de aproximadamente 8,8 millones del registro de residentes tras abuso de accesos legítimos

Se ha informado de un incidente en el que se extrajeron datos personales de unas 8,8 millones de personas del registro central de residentes de Dinamarca, el "CPR". Se aprovechó un sistema que permite a empresas privadas realizar búsquedas en el CPR cuando existe una razón legítima, y el punto de entrada fue el acceso de Pays ApS, una pequeña empresa de TI de Odense con dos empleados.

La intrusión comenzó el 10 de septiembre de 2026 y, hasta el 20 de ese mes, se realizaron aproximadamente 14 millones de búsquedas automáticas. Según el artículo, calculando el promedio en esos diez días, se ejecutaron unas 16 búsquedas por segundo. Pays ha reconocido que sus permisos legítimos fueron aprovechados indebidamente.

La detección se produjo cuando un funcionario del ministerio correspondiente encontró una factura que mostraba un uso inusualmente alto de Pays, y se advirtió el 2 de octubre. El incidente se reportó a la autoridad de protección de datos el 4 de octubre y el gobierno lo hizo público el día 5. La técnica empleada no fue ransomware ni abuso de IA, sino la obtención indebida mediante búsquedas masivas con credenciales legítimas.

Este caso constituye una filtración de una base de datos a escala nacional por el "abuso de autorizaciones legítimas", y subraya la importancia de la supervisión operativa, la detección de anomalías y la gestión de los accesos otorgados a terceros. La cobertura se basa en la información publicada hasta el momento; será necesario esperar anuncios adicionales de las autoridades y partes implicadas para conocer el alcance detallado de la filtración y todas sus consecuencias.