Els ciberdelinqüents han aprofitat els permisos legals d’un proveïdor privat per buidar el registre nacional i identificar gairebé tota la població del país, incloent-hi morts i emigrants.

Dinamarca s’enfrontaria a un dels incidents de ciberseguretat més greus de la seva història recent. L’administració del Registre Central de Persones (CPR) del país escandinau ha confirmat un accés no autoritzat a gran escala que ha exposat les dades personals d’aproximadament 8,8 milions de persones registrades al sistema. 

L’incident, detectat a principis d’octubre després d’identificar-se un comportament anòmal acumulat al llarg del mes de setembre, ha posat en alerta màxima les autoritats daneses.

Entre la informació compromesa hi ha noms complets, adreces postals i els números d’identificació personal (CPR-nummer), elements fonamentals per a la gestió administrativa i la vida quotidiana dels ciutadans. 

La magnitud de la filtració és especialment significativa si tenim en compte que la població actual del país ronda els 6 milions d’habitants. Així, el volum compromès abasta no només residents actuals, sinó també persones mortes o emigrades registrades històricament a la base de dades pública. 

Tot i això, l’administració ha aclarit que la filtració no ha afectat els ciutadans que comptaven amb protecció especial de nom i adreça registrada en el sistema.   

Com es van colar els atacants

Els ciberdelinqüents van fer servir la cadena de subministrament per accedir a aquests detalls delicats. Així, per vulnerar els sistemes de la institució pública van explotar un dels proveïdors. 

Els atacants van aconseguir infiltrar-se aprofitant l’accés legítim que una empresa privada danesa posseïa per consultar dades al registre, d’acord amb el marc regulador que permet que certes entitats amb interès legítim facin verificacions sota directrius estrictes de protecció de dades. 

En comprometre les credencials o els permisos d’aquesta empresa, els ciberdelinqüents van poder extreure massivament la informació continguda al registre dins dels marges de consulta tècnica permesos.   

De moment, la identitat i l’origen dels atacants continuen sent un enigma, ja que les investigacions policials es troben en una fase preliminar i les autoritats no han assenyalat formalment cap grup o actor. 

L’administració del CPR ha revocat immediatament l’accés a l’empresa involucrada i treballa amb especialistes de ciberseguretat i la policia danesa per aclarir l’abast exacte del succés, a més d’haver-ho notificat formalment a l’Agència de Protecció de Dades del país (Datatilsynet).   

Mesures adoptades

L’impacte polític i institucional ha estat immediat. La ministra de Recerca, Educació Superior i Digitalització, Christina Egelund, ha traslladat la gravetat de l’assumpte al Parlament danès assenyalant que es tracta d’«un incident profundament greu del que he informat el Comitè de Negocis i Digitalització del Folketing.» 

Igualment, la titular de la cartera ha destacat l’adopció de mesures urgents: «Juntament amb totes les autoritats rellevants, estem cartografiant la magnitud total del succés. Ja hem engegat iniciatives en relació amb el CPR per prevenir incidents similars i he sol·licitat una revisió exhaustiva de la seguretat del sistema», ha comentat. 

Com a mesura preventiva, el Govern danès ha instat la població a extremar la precaució davant de possibles campanyes d’enginyeria social o suplantació d’identitat que facin servir la informació filtrada. 

A més, les autoritats han recordat que mai no s’han de facilitar contrasenyes ni dades confidencials mitjançant trucades o correus electrònics, tot i que els interlocutors semblin conèixer dades reals com el nom o el número de CPR. 

Per mitigar l’impacte i orientar els afectats, s’ha reforçat el canal oficial de seguretat digital i s’han ampliat els horaris d’atenció de la línia telefònica nacional de ciberseguretat.