Acceso a datos sensibles del registro civil danés por credenciales comprometidas

Un individuo logró extraer datos personales de 8,8 millones de ciudadanos del Registro Central de Población danés (CPR). El acceso se produjo a través de cuentas de una empresa informática asociada al registro, utilizando credenciales que se identificaron como una contraseña predecible y poco segura.

El incidente comenzó el 10 de septiembre y se extendió hasta el día 20 de ese mismo mes, periodo en el que se registraron aproximadamente 14 millones de búsquedas automatizadas en la base de datos. Los datos robados incluyen nombres, direcciones y números CPR, siendo el identificador personal crucial utilizado en Dinamarca para la validación de la identidad ante administraciones y empresas.

El acceso no autorizado fue detectado el 2 de octubre, y la administración del CPR confirmó formalmente la violación de la seguridad el 5 de octubre. Según el comunicado emitido por la administración danesa, múltiples personas no autorizadas hicieron un uso indebido del acceso concedido legalmente a la compañía informática.

El análisis posterior reveló que la compañía responsable de las consultas, Pays ApS, era el eslabón en este incidente. La información detallada, obtenida de canales externos, indicó que al menos tres cuentas corporativas de la empresa, incluyendo una cuenta con permisos de administrador, estaban utilizando la misma contraseña vulnerable.

El mecanismo de acceso sugirió que la filtración de datos de un antiguo empleado de Pays ApS, que contenía las credenciales débiles, pudo haber sido la fuente de la información para el atacante.

El número CPR constituye en Dinamarca un registro poblacional vital, ya que el registro civil alberga aproximadamente 11 millones de registros, incluyendo a personas fallecidas y residentes en el extranjero. La seguridad del sistema depende en parte de las medidas de protección adoptadas por las distintas entidades autorizadas a consultarlo, como es el caso de Pays ApS.

Desde un punto de vista de seguridad de la información, el caso subraya que el atacante no logró una intrusión directa al sistema, sino que aprovechó un acceso legítimo previamente concedido.

El aspecto más relevante desde la perspectiva de la seguridad es el tiempo transcurrido entre el último acceso y la detección de la anomalía. A pesar de la actividad elevada de consultas durante días, el acceso no fue detectado hasta doce días después de que se registrara la última búsqueda, siendo esta detección la consecuencia de una factura emitida a la compañía con un patrón de actividad inusual.

La posibilidad de fraude y suplantación de identidad se considera el principal riesgo asociado a la exposición de estos datos, dado que el número CPR es un identificador personal central para el país. Este evento es parte de una tendencia más amplia que registra un aumento preocupante de filtraciones de datos por parte de terceros a nivel internacional, siendo el uso de contraseñas robadas o simplificadas la forma más habitual de ejecución de estos incidentes.

Fuentes: Xataka

Foto de Eriel Ezequiel Reyes Saviñon en Unsplash