La contraseña «123456» ha abierto la puerta del registro civil de Dinamarca: 8,8 millones de personas con sus datos al descubierto. Y no hizo falta un hacker de película. Bastó una clave que lleva dos décadas en el podio de las peores del mundo.
El ataque no fue un asalto a lo Ocean's Eleven. Alguien se sentó ante una cuenta legítima de la empresa Pays ApS, tecleó seis números y entró como Pedro por su casa. El CPR (Det Centrale Personregister) guarda unos 11 millones de registros, fallecidos incluidos.
Tres semanas de puertas abiertas
El calendario del desastre, paso a paso. El intruso accedió el 10 de septiembre y hasta el día 20 lanzó 14 millones de búsquedas en diez días y nadie notó nada. La brecha se detectó el 2 de octubre y la administración del CPR la confirmó el 5.
Y el detalle que deja helado es otro. Lo que encendió la bombilla fue una factura: un empleado del ministerio vio un cargo de Pays ApS con actividad anormalmente alta y tiró del hilo. La brecha se detectó por una factura, no por un cortafuegos. Ahí es nada.
Pays ApS tenía permiso para consultar el registro danés y su seguridad era la del sistema. Según publicó Politiken, al menos tres de sus cuentas, incluida una de administrador, compartían la misma contraseña. Ni la empresa ni la administración lo confirman. El cómo encaja: un correo de un antiguo empleado con la clave «123456» aparecía en una filtración anterior, según Malwarebytes.
Un sistema es tan seguro como la persona más cansada que tiene acceso a él, y esa persona casi siempre elige seis números.
Por qué «123456» sigue colando en 2026
Aquí viene la parte incómoda. Llevamos años escuchando que hay que usar claves largas, únicas y con mayúsculas, números y símbolos, y aun así la contraseña más repetida del planeta sigue siendo una cuenta atrás de seis dígitos. No es solo desconocimiento. Es pereza y una arquitectura de empresa que reparte la misma llave entre media plantilla.
Seis dígitos abrieron la puerta a 8,8 millones de personas y el susto no es solo danés. El CPR es la pieza que sostiene la identidad digital del país: ese número acredita quién eres ante administraciones y empresas. Con nombre, dirección y número en la mano, un fraude deja de ser teoría.
Según declaró el atacante a Politiken, no piensa vender ni filtrar los datos. La mala noticia es que eso lo dice él.
España reparte esa información en tres registros distintos: el Padrón municipal para la residencia, el DNI para la identidad y el Registro Civil para el estado civil. Son tres puertas en vez de una. No es la panacea, pero tumbar tres sistemas cuesta más que colarse por uno.
El eslabón débil no es el hacker, es la empresa con acceso
Esto ya lo hemos visto antes. El informe de Verizon para 2025 señalaba un aumento alarmante de las filtraciones de terceros, y la vía más habitual sigue siendo la misma: credenciales robadas, filtradas, o directamente ridículas.
Le pasa a una empresa informática danesa y le ha pasado a gigantes tecnológicos con equipos de seguridad de tres pisos. Nadie es inmune cuando la clave del administrador es la misma que la del becario.
Mi lectura es que esto no se arregla con charlas sobre contraseñas seguras. Se arregla obligando la verificación en dos pasos en cualquier acceso sensible, matando las cuentas compartidas y colocando alertas que salten a las cien consultas raras, no a los 14 millones.
Para tu día a día: un gestor de contraseñas, el doble factor activado en todas las redes y una visita a Have I Been Pwned para ver si tu correo anda por ahí. Si quieres material con criterio, INCIBE tiene guías de sobra.
Queda la pregunta incómoda: cuántas empresas con acceso a registros públicos siguen funcionando con una clave de seis dígitos y una factura como única alarma. Eso sí que da miedo.
📱 El TL;DR (Too Long; Didn't Read)
- 👤 De quién hablamos: el registro civil danés (CPR) y la contraseña «123456».
- 📲 En qué red social ha pasado: en ninguna; el acceso llegó por una cuenta corporativa de Pays ApS.
- 🔥 Por qué es viral: 8,8 millones de personas expuestas por seis dígitos de nada.
