O Registro Central de População da Dinamarca, conhecido pela sigla CPR, teve os dados de cerca de 8,8 milhões de pessoas acessados sem autorização. O número é maior que a população do país, que tem perto de 6 milhões de habitantes, porque a base inclui falecidos e emigrados.
As informações expostas são nome, endereço e o número do CPR, o documento de identificação nacional usado por dinamarqueses em praticamente qualquer serviço, do banco à consulta médica.
O ponto que diferencia este caso é a ausência de falha técnica. Não houve exploração de vulnerabilidade de software: os responsáveis usaram indevidamente o acesso legítimo de uma empresa privada dinamarquesa, autorizada a consultar o sistema.
Ou seja, a porta estava aberta por contrato. O que falhou foi o controle sobre como esse acesso aprovado vinha sendo usado, e não o sistema que guarda os dados. Nenhuma correção de software resolve um problema dessa natureza.
As consultas indevidas ocorreram ao longo de setembro. A administração do CPR percebeu um comportamento incomum no sistema na noite de sexta-feira, 2 de outubro, e confirmou o acesso não autorizado no fim de semana seguinte.
O caso foi anunciado oficialmente em 5 de outubro pela ministra da Pesquisa, Educação e Digitalização, Christina Egelund, três dias depois da primeira detecção.
O tipo de dado vazado tem valor duradouro. Nome, endereço e número de identificação não mudam com a facilidade de uma senha, o que mantém o material útil para fraude e engenharia social por muito tempo depois do incidente.
