Para: personas que viven o han vivido en Dinamarca y sus familias, y organizaciones que permiten a empresas externas consultar datos de residentes o clientes mediante una API o una pantalla de consulta. Este artículo se basa en el aviso oficial del Gobierno danés y no describe técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que el Gobierno publique más información
A fecha de 12 de octubre de 2026Aún no se sabe
- Cómo se utilizó indebidamente el acceso de consulta (versión oficial)
- Quién está detrás
- Una forma de comprobar individualmente si está afectado
- Si los números CPR deben cambiarse
- Resultados de la revisión de seguridad del CPR
En su aviso del 5 de octubre, el Gobierno danés indicó que las cifras y los detalles pueden cambiar a medida que avance la investigación. La contraseña y el periodo de acceso informados desde el 9 de octubre no han sido confirmados en las declaraciones del Gobierno, por lo que este artículo los muestra por separado como informaciones de los medios.
Qué deben hacer hoy los residentes (y antiguos residentes)
Prepárese como si estuviera afectado
Según el ministerio, unos 8,8 millones de los aproximadamente 11 millones de personas registradas están afectadas, incluidas personas emigradas y fallecidas. A fecha de 6 de octubre, no se ha anunciado ninguna forma de comprobarlo individualmente.
Si estudió o trabajó en Dinamarca en el pasado, puede estar afectado si se le asignó un número CPR. Esté atento también a mensajes que usen el nombre de un familiar fallecido.
Nunca comparta datos de MitID ni códigos de un solo uso
El sitio oficial de seguridad sikkerdigital.dk pide que nunca se compartan datos de MitID, códigos de un solo uso, contraseñas ni datos de tarjetas.
El ministerio también recuerda que no se den contraseñas ni datos similares por teléfono o correo electrónico, aunque la otra persona parezca conocer su nombre, su dirección y su número CPR. Esos tres datos exactos fueron obtenidos, así que quien los conozca no demuestra nada.
No pulse enlaces en mensajes de texto ni correos; entre en el sitio oficial por su cuenta
sikkerdigital.dk aconseja que, si recibe un mensaje de texto o un correo inesperado con un enlace, no haga clic en él, sino que entre por su cuenta en el sitio web oficial o llame al número principal del remitente para confirmarlo.
Si alguien le llama, cuelgue y devuelva la llamada a un número que haya buscado en el sitio oficial. Cuanto más le presione un mensaje, más motivos tiene para dudar de él (cómo reconocerlo: qué es el phishing).
Si sospecha un uso indebido, active una advertencia de crédito
Según sikkerdigital.dk, si tiene una sospecha concreta de que su número CPR se usa para fraudes, puede activar una advertencia de crédito (kreditadvarsel) en borger.dk. Es una marca en el CPR que dificulta pedir préstamos o créditos a su nombre.
Según borger.dk, debe tener al menos 15 años. La marca se registra en el CPR de inmediato, pero puede tardar unos días en surtir efecto en los sistemas de las empresas. También le dificulta pedir préstamos, por lo que puede retirarla antes de solicitar crédito. Si no puede hacerlo en línea, la atención ciudadana de su municipio puede ayudarle (con cita previa).
Si necesita ayuda, llame a la Cyberhotline
La Cyberhotline nacional para la seguridad digital es el +45 33 37 00 37. Según el ministerio y sikkerdigital.dk, está abierta de 8 de la mañana a medianoche en los próximos días.
Si reutiliza contraseñas en varios servicios, aproveche para separarlas (cómo comprobarlo: cómo comprobar si su contraseña se filtró; cómo gestionarlas: cómo elegir un gestor de contraseñas).
Qué ocurrió (según el aviso del Gobierno danés)
El 5 de octubre de 2026, el Ministerio de Investigación, Educación y Digitalización de Dinamarca publicó "Omfattende uautoriseret adgang til borgeres CPR-oplysninger" (acceso no autorizado generalizado a los datos CPR de los ciudadanos). El mismo texto está publicado en el sitio oficial del CPR. Todo lo que sigue se basa en el aviso del ministerio.
Durante septiembre de 2026
Hubo actividad irregular en el sistema CPR (cuadro informativo del aviso).Viernes 2 de octubre, por la noche
La administración del CPR detectó esa actividad.3–4 de octubre (fin de semana)
La administración supo que personas no autorizadas habían obtenido nombres, direcciones y números CPR de unos 8,8 millones de personas.5 de octubre
El ministerio anunció el incidente, y sikkerdigital.dk publicó recomendaciones para los residentes. La ministra afirma que informó a la comisión parlamentaria.6 de octubre
sikkerdigital.dk publicó orientaciones para empresas y autoridades que reciben contactos de ciudadanos, pidiéndoles que revisen sus comprobaciones de identidad.Viernes 9 de octubre
La administración del CPR envía a las 1.039 empresas con acceso de consulta una carta que endurece sus normas de seguridad (informado por DR). El mismo día, los medios informan de que se usó la contraseña "123456" en la empresa cuyo acceso fue utilizado indebidamente (no confirmado por el Gobierno).Sábado 10 de octubre
La ministra envía un memorando a dos comisiones parlamentarias (informado por DR).
- Quiénes
- Unos 8,8 millones de personas registradas, incluidas personas vivas, emigradas y fallecidas
- Datos
- Nombres, direcciones, números CPR y otros datos, dentro de los que las empresas privadas pueden consultar
- No incluidos
- Nombres y direcciones de personas con protección de nombre y dirección (navne- og adressebeskyttelse)
- Cómo
- Personas no autorizadas utilizaron indebidamente el acceso legítimo de una empresa privada danesa para consultar datos del CPR
- Nombre de la empresa
- No revelado en el aviso
- Respuesta
- Se suspendió el acceso de la empresa; se notificó a la Agencia Danesa de Protección de Datos; la policía investiga junto con las autoridades competentes; se han iniciado medidas para evitar incidentes similares, y está en curso una revisión de seguridad a fondo del CPR
- Puntos abiertos
- La investigación está en fase inicial y no se sabe quién está detrás. El propio ministerio advierte de que nuevas comprobaciones podrían cambiar los detalles
- Ayuda
- sikkerdigital.dk, Cyberhotline +45 33 37 00 37 (de 8 de la mañana a medianoche por ahora)
Informado, pero no aparece en el aviso del ministerio
Los puntos siguientes han sido informados por los medios, pero no aparecen en el aviso del ministerio del 5 de octubre. Este artículo no los considera establecidos y se actualizará si el Gobierno publica detalles.
- La contraseña "123456": según hallazgos del diario danés Politiken, distribuidos por la agencia de noticias Ritzau (publicados por DR), al menos tres cuentas de la empresa cuyo acceso fue utilizado indebidamente usaban esta contraseña, una de ellas una cuenta de administrador.
- Cuánto tiempo estuvo disponible el acceso: según la emisora pública DR, el acceso de consulta estuvo disponible durante 21 días y 17 horas. Sin embargo, según el informe de la administración del CPR a la Agencia de Protección de Datos, no se usó durante todo ese periodo.
- Cómo se hicieron las consultas: The Hacker News, un sitio de noticias de seguridad, informa, citando a la agencia de noticias danesa y a la Agencia de Protección de Datos, que consistieron en un número muy elevado de consultas automatizadas.
Carta a las 1.039 empresas con acceso de consulta (informado por DR)
Según DR, el memorando de la ministra enviado a dos comisiones parlamentarias el 10 de octubre indica que el 9 de octubre la administración del CPR envió a las 1.039 empresas con acceso de consulta una carta que endurece sus normas de seguridad. Los puntos principales:
- Las empresas con acceso deben tener un responsable de seguridad
- Deben revisar continuamente el acceso de sus empleados a los datos del registro
- Deben seguir su número mensual de consultas del CPR para comprobar que el acceso no se utiliza indebidamente
DR también informa de que la ministra ha reconocido que la seguridad del sistema no era suficiente y ha pedido una revisión de seguridad. Este sitio no pudo consultar el memorando en la web del Parlamento danés, por lo que se presenta aquí como informe de DR.
Por qué las empresas privadas pueden consultar el CPR
El aviso del ministerio incluye un cuadro informativo sobre el acceso de las empresas privadas. En virtud del artículo 38 de la Ley del CPR, las empresas privadas con un interés legítimo pueden recibir datos del CPR sobre personas que ya han identificado una a una, usando el número CPR, la fecha de nacimiento y el nombre, o el nombre y la dirección.
Además, la empresa debe tener derecho a recibir los datos en virtud del Reglamento General de Protección de Datos de la UE (RGPD) y de la Ley danesa de Protección de Datos. El artículo 38, apartado 2, de la Ley del CPR establece a qué datos suelen tener acceso estas empresas.
En otras palabras, lo que se utilizó no fue una puerta trasera, sino una entrada legal concedida a las empresas. Las defensas que detienen a los intrusos no detienen las consultas que llegan con credenciales válidas.
Cuenta de una empresa privada con acceso de consulta
usada por personas no autorizadas
↓→
Servicio de consulta del CPR
acceso válido, así que el inicio de sesión tiene éxito
↓→
Resultados para unos 8,8 millones de personas
datos que las empresas privadas pueden consultar
Dónde detectarlo: no en el inicio de sesión, sino en cómo se usa el acceso
volumen por cliente, desviación respecto a lo habitual, proporción de números no encontrados, volumen frente al tamaño del cliente
Qué deben revisar las organizaciones que ofrecen APIs de consulta
Esta sección es para organizaciones que permiten a empresas contratadas consultar datos de residentes, clientes o crédito mediante una API o una pantalla de consulta. Como la causa no se ha revelado, cubre puntos que se aplican a cualquier servicio construido de este modo.
Cómo diseñar límites en general (a quién contar, qué contar, qué hacer al alcanzar el límite) se explica en limitación de frecuencia y control de abusos. Las señales de actividad inhumanamente rápida, como la de agentes de IA, se explican en el caso DIVD. Aquí añadimos lo específico del acceso de un cliente legítimo.
Asigne a cada cliente un límite acorde con su base de clientes declarada
Según las normas danesas, una empresa puede consultar a personas que ya ha identificado una a una. Por tanto, el número de personas que un cliente consulta en un mes no debería superar de forma notable su número de clientes.
Como primer paso, establezca límites diarios y mensuales de consulta por cliente basados en el número de clientes declarado en el momento del contrato. Avise al titular de la cuenta al 80 % del límite, y al llegar al límite detenga las consultas y pida al cliente el motivo.
Vigile diariamente la desviación respecto a lo habitual y la proporción de números no encontrados
El volumen absoluto por sí solo no revelará anomalías en un cliente que ya es grande de partida. Use como referencia el volumen diario medio de cada cliente en los últimos 30 días y avise de los días que lo superen varias veces.
Otra señal es la proporción de consultas que no devuelven coincidencias. Un cliente que consulta a sus propios clientes debería encontrar casi todos. Un cliente cuya tasa de no encontrados sube de repente puede estar consultando a personas que no son sus clientes, así que compruébelo de inmediato.
No deje contraseñas adivinables en cuentas de administrador ni compartidas
En este caso, según se informa, al menos tres cuentas de la empresa con acceso de consulta, incluida una cuenta de administrador, usaban la contraseña "123456" (no confirmado por el Gobierno). Una sola cuenta comprometida con derechos de consulta llega a datos de muchas personas.
Como primer paso, pida a cada cliente una lista de sus cuentas de administrador y de las cuentas compartidas por varias personas, y compruebe que la autenticación multifactor está activada en cada una. Por su parte, revise cada mes los inicios de sesión correctos y fallidos y el número de consultas de cada cuenta, y señale las cuentas cuyo volumen esté por encima de lo normal. La comprobación mensual del número de consultas que la administración del CPR ha pedido a las 1.039 empresas sigue la misma idea.
No deje la seguridad de las cuentas de cliente en manos del cliente
Cuando un acceso legítimo es usado por otra persona, comprobar identificadores y contraseñas no sirve de nada. Exija como condición contractual la autenticación multifactor, restricciones de direcciones IP de origen y la rotación periódica de las claves de API de las cuentas de consulta (contexto: autenticación frente a autorización, cómo elegir la autenticación de dos factores).
Revise también una vez al año si algún cliente tiene un acceso inusualmente amplio para su tamaño, o un acceso que ya no utiliza.
Registre quién consultó a quién y cuándo, y pueda cortar el acceso de inmediato
En cada consulta, registre el cliente, el usuario, la hora y la persona consultada. Como mínimo razonable, conserve los registros durante 12 meses (el periodo que exige el estándar de la industria de tarjetas PCI DSS para los registros de auditoría). Sin estos registros no puede responder a la pregunta de qué datos salieron y de quién.
En este caso, la administración del CPR suspendió el acceso de la empresa. Para cada cliente, defina el procedimiento y la persona que puede cortar su acceso de inmediato sin afectar a otros clientes.
Para empresas y autoridades que reciben contactos de residentes: revisar las comprobaciones de identidad
El 6 de octubre, sikkerdigital.dk pidió a las empresas y autoridades que reciben contactos de ciudadanos que reconsideren si el nombre, la dirección y el número CPR siguen siendo suficientes si los han usado para verificar a quien llama. Los métodos que propone se indican a continuación.
Ya no son prueba de identidad tras este incidente
- Número CPR
- Nombre
- Dirección
- Fecha de nacimiento
Comprobaciones indicadas por sikkerdigital.dk
- Pedir a la persona que inicie sesión en el autoservicio, por ejemplo con MitID
- Enviar un código de un solo uso a un teléfono o correo electrónico ya registrados
- Devolver la llamada a un número ya registrado
- Preguntar por algo específico de la relación, como un número de cliente o el número de la última factura
El sitio indica que, para solicitudes como el acceso a datos personales, cambios de datos de contacto, nuevas suscripciones, compras a crédito, nuevas tarjetas SIM, restablecimiento de contraseñas o cambios de datos de pago, debe usarse una verificación sólida, y que el número CPR, el nombre, la dirección o la fecha de nacimiento no deben bastar. También sugiere comprobaciones manuales o un periodo de espera para los cambios con impacto financiero o de seguridad.
Para lectores en Japón: en qué se diferencia My Number y la lección que sigue vigente
Según la Agencia Digital de Japón, el My Number de Japón se usa para trámites establecidos en leyes u ordenanzas, como la seguridad social, los impuestos y la respuesta ante desastres, y su uso para otros fines está, en principio, restringido. La agencia también indica que el número por sí solo no puede usarse para completar trámites (Preguntas frecuentes sobre My Number de la Agencia Digital, en japonés).
A pesar de los distintos sistemas, la lección se traslada directamente: no use como contraseña de identidad números o direcciones que muchas personas puedan conocer. Las empresas cuyos servicios telefónicos aceptan solicitudes solo con nombre, dirección y fecha de nacimiento deben añadir una devolución de llamada al número registrado o una pregunta específica de la relación.
Fuentes (registro público)
Los datos de este artículo se basan en la siguiente información pública. No cubre el nombre de la empresa cuyo acceso fue utilizado indebidamente, quién está detrás del incidente ni las técnicas no reveladas. Los puntos basados en informes de medios se indican como tales en el texto.
- Ministerio danés de Investigación, Educación y Digitalización, "Omfattende uautoriseret adgang til borgeres CPR-oplysninger" (5 de octubre de 2026, en danés; URL actualizada el 12 de octubre tras el traslado del sitio del ministerio) — fudm.dk
- CPR (Det Centrale Personregister), mismo aviso (en danés) — cpr.dk
- sikkerdigital.dk, recomendaciones para ciudadanos (5 de octubre de 2026, en danés) — sikkerdigital.dk
- sikkerdigital.dk, orientaciones para verificar ciudadanos para empresas y autoridades (6 de octubre de 2026, en danés) — sikkerdigital.dk
- borger.dk, "Kreditadvarsel" (en danés) — borger.dk
- Agencia Digital de Japón, Preguntas frecuentes sobre My Number (P1-4, P1-7; en japonés) — digital.go.jp
- The Hacker News (octubre de 2026, informe de noticias; sus afirmaciones sobre la duración y el método no están confirmadas en el aviso del ministerio) — thehackernews.com
- DR, "1039 virksomheder har fået indskærpet sikkerhed efter CPR-læk" (Ritzau; en danés. Sobre el memorando de la ministra enviado el sábado 10 de octubre, la carta a 1.039 empresas enviada el viernes 9 de octubre, el periodo de acceso y los hallazgos de Politiken sobre la contraseña "123456" y al menos tres cuentas, una de ellas de administrador) — dr.dk
- Ingeniøren, "Millioner af CPR-numre var beskyttet med adgangskoden 123456" (9 de octubre de 2026; en danés. Informa de que un hacker anónimo dijo a Politiken que se usó una contraseña muy sencilla; no menciona el número de cuentas ni una cuenta de administrador) — ing.dk
Historial de actualizaciones
2026-10-12: Se actualizó la URL del aviso del ministerio a su nueva ubicación (fudm.dk). Se añadieron la contraseña "123456" y el periodo de acceso informados (no confirmados por el Gobierno), y el memorando de la ministra según informó DR (carta a 1.039 empresas; reconocimiento de que la seguridad no era suficiente). Se añadió una comprobación de cuentas de administrador y compartidas para las organizaciones que ofrecen APIs de consulta.
2026-10-06: Primera versión, basada en el aviso del ministerio danés del 5 de octubre y en las orientaciones de sikkerdigital.dk del 5 y 6 de octubre. El ministerio indica que la investigación continúa y que los detalles pueden cambiar; este artículo se actualizará cuando se publiquen nuevos hechos.
Lecturas recomendadas
- Diseño de límites de consulta: Limitación de frecuencia y control de abusos
- Incidentes gubernamentales en 2026: Filtraciones de datos gubernamentales en 2026 y qué pueden hacer los ciudadanos
- Una filtración desde un portal de solicitud de documentos de identidad: Filtración de datos de France Titres (ANTS)
- Prepararse para la suplantación: Qué es el phishing / Qué es una contraseña de un solo uso
- Otros incidentes en 2026: Lista de filtraciones de datos y ciberataques