Brecha de dados na Dinamarca expõe informações de 8,8 milhões de pessoas

Atualizado a 14 de outubro de 2026 às 15:46

Uma falha de segurança no sistema de registo civil dinamarquês expôs dados de 8,8 milhões de pessoas. Acesso foi feito através de uma password fraca.

Falha de segurança expõe registo civil dinamarquês

Um incidente de cibersegurança na Dinamarca resultou no acesso não autorizado a dados de 8,8 milhões de pessoas. A brecha, que afetou o Central Register of Persons (CPR) do país, foi confirmada pelas autoridades dinamarquesas a 5 de outubro, embora o acesso indevido tenha ocorrido entre os dias 10 e 20 de setembro.

Segundo informações reportadas pelo The Register, com base em dados avançados pelo jornal dinamarquês Politiken e novas revelações obtidas através de conversas com o próprio atacante via chat encriptado, o intruso obteve acesso ao sistema utilizando as credenciais de um antigo funcionário de uma empresa de TI autorizada, cuja password era "123456". Foram encontradas três contas distintas a utilizar esta mesma palavra-passe elementar, permitindo a execução de cerca de 14 milhões de pesquisas automatizadas num espaço de dez dias.

Impacto e cronologia do ataque

• Volume de dados: O sistema CPR contém cerca de 11 milhões de registos, incluindo pessoas falecidas e cidadãos que emigraram. O ataque impactou diretamente os dados de 8,8 milhões de indivíduos, abrangendo nomes, moradas, datas de nascimento e números de identificação CPR, amplamente utilizados em setores como a saúde, banca e tributação.
• Deteção tardia: O atacante criou scripts para extrair informação para um sistema externo. A intrusão só foi detetada a 2 de outubro, após um funcionário do governo notar um registo de atividade invulgar da empresa Pays ApS no mês anterior.
• Empresa envolvida: A Pays ApS, sediada em Funen, confirmou através da sua diretora-geral Sophie Laursen que o seu acesso legítimo ao sistema CPR foi explorado. O website da empresa esteve temporariamente offline na sequência do sucedido.

O ator da ameaça, que garantiu não ter intenção de vender ou divulgar os dados roubados e classificou a postura de segurança das autoridades como negligente comparando-a a deixar plutónio numa estação de comboios, forneceu um ficheiro com números CPR cuja autenticidade foi validada por um investigador de cibersegurança independente, Emil Hørning. A Autoridade de Proteção de Dados da Dinamarca (Datatilsynet) foi notificada a 4 de outubro.

Este incidente sublinha a vulnerabilidade crítica introduzida por práticas deficientes de gestão de credenciais em infraestruturas estatais e cadeias de fornecimento tecnológicas, expondo bases de dados sensíveis a riscos severos de engenharia social e phishing direcionado.

Fontes

• https://www.techradar.com/pro/security/123456-password-was-the-only-thing-standing-between-hacker-and-data-of-8-8-million-people