Dinamarca: hackean el Registro Civil, cuya clave de acceso era 123456

Una contraseña demasiado simple habría sido suficiente para acceder a información de millones de personas en Dinamarca. El incidente afectó al Registro Nacional de Residentes, una base de datos que contiene información de unos 8,8 millones de personas y cuyo acceso se habría conseguido a través de una empresa privada autorizada a consultar el sistema.

Según una investigación publicada por el diario danés Politiken, el atacante aprovechó una vulnerabilidad en la seguridad de Pays ApS, una empresa de servicios informáticos y gestión de datos con sede en Odense, en la isla de Fionia. Al menos tres cuentas corporativas de la compañía, incluida una con permisos de administrador, estaban protegidas con la contraseña “123456”.

De acuerdo con la reconstrucción del medio, el atacante no ingresó directamente a los servidores del gobierno danés, sino que utilizó las credenciales de la empresa para acceder al canal de consulta del registro civil.

Un registro con información sensible

El sistema afectado es el Det Centrale Personregister (CPR), el registro central de residentes de Dinamarca. A cada persona inscripta se le asigna un número identificatorio de diez dígitos, conocido como CPR-nummer, que se utiliza en numerosos trámites y servicios.

Este código permite identificar a los ciudadanos ante las administraciones públicas y se emplea también para acceder a información médica, abrir cuentas bancarias, contratar servicios telefónicos y seguros, y utilizar plataformas digitales.

Por ese motivo, la combinación del nombre, la dirección y el número CPR de una persona constituye información especialmente valiosa para quienes buscan cometer robos de identidad o estafas dirigidas mediante técnicas de phishing.

En Dinamarca, más de mil empresas privadas están legalmente habilitadas para consultar el registro. La vulneración de una cuenta de una de estas compañías puede convertirse, por tanto, en una vía de acceso a información que pertenece a un sistema de alcance nacional.

El incidente salió a la luz después de que se detectara un volumen inusual de consultas automatizadas, que habría alcanzado decenas de millones de operaciones en los días posteriores a la primera filtración.

Pese a la magnitud potencial de la exposición y al valor que los datos podrían tener en mercados ilegales, el responsable del ataque habría señalado que no tenía intenciones maliciosas. Según consigna el periódico El Mundo, no se exigió un rescate ni se ofreció la base de datos a la venta.

El riesgo de seguir utilizando contraseñas antiguas

El episodio volvió a poner el foco en uno de los problemas más persistentes de la seguridad informática: el uso de contraseñas débiles o que se mantienen durante años sin ser reemplazadas.

“Es paradójico: cambiamos de smartphone, de ciudad y de hábitos, pero seguimos confiando la seguridad de nuestras cuentas más importantes a contraseñas creadas hace 10 o 15 años. Para muchos, el nombre de una antigua mascota o una contraseña como ‘Summer2010’ sigue siendo la clave de acceso al correo electrónico e incluso a los fondos de pensiones”, afirmó Karolis Arbaciauskas, director de producto de NordPass, empresa de gestión de contraseñas perteneciente a Nord Security.

El especialista advirtió que muchas personas desconocen que sus credenciales pudieron quedar expuestas en filtraciones anteriores y continúan utilizándolas sin saber que representan un riesgo.

“Estoy convencido de que la mayoría de los usuarios de internet saben que deben cambiar inmediatamente una contraseña si se ve comprometida. Por eso, cuando alguien afirma que lleva años utilizando la misma contraseña, solo hay dos posibilidades: o bien esa credencial nunca se ha visto afectada por una filtración de datos, o bien el usuario no sabe que se ha visto comprometida. Lamento decirlo, pero la segunda hipótesis es, con diferencia, la más probable”, sostuvo.

Arbaciauskas también señaló la importancia de contar con herramientas que alerten cuando las credenciales de un usuario aparecen en una filtración de datos. Sin esos mecanismos de aviso, explicó, muchas personas siguen utilizando contraseñas vulneradas sin advertirlo, mientras aumenta el riesgo de que sus cuentas sean comprometidas.

El caso danés ilustra cómo una falla básica en la protección de una cuenta puede convertirse en una amenaza de gran alcance cuando esa cuenta permite acceder a sistemas que gestionan información personal sensible.