A Dinamarca está investigando uma enorme violação de dados após indivíduos não autorizados terem acesso a informações pessoais pertencentes a aproximadamente 8,8 milhões de pessoas no Registro Central de Pessoas do país, conhecido como CPR.
As informações expostas incluem nomes, endereços e números de RCP, os números de identificação pessoal únicos da Dinamarca. Os registros abrangem não apenas residentes atuais, mas também pessoas que se mudaram para o exterior e aquelas que já faleceram, explicando por que o número afetado é maior do que a população da Dinamarca.
Os atacantes não invadiram diretamente o sistema de RCP. Em vez disso, abusaram da autorização legítima de uma empresa privada dinamarquesa para pesquisar no banco de dados nacional e realizaram um grande número de consultas automatizadas.
A Agência de Proteção de Dados da Dinamarca afirmou que a atividade parece ter sido projetada para identificar números de RCP válidos. As autoridades não identificaram publicamente a empresa cujo acesso foi mal utilizado.
Pessoas registradas com proteção de nome e endereço estavam parcialmente protegidas contra o incidente. De acordo com a investigação inicial do governo, seus nomes e endereços protegidos não foram expostos por meio das buscas não autorizadas.
A atividade suspeita ocorreu em setembro e foi detectada pela administração da RCP em 2 de outubro. O acesso da empresa ao banco de dados foi desativado enquanto autoridades e especialistas em cibersegurança investigam como o incidente ocorreu.
A Ministra da Dinamarca para o Ensino Superior, Pesquisa e Digitalização, Christina Egelund, descreveu o incidente como extremamente grave e ordenou uma revisão mais ampla de segurança do sistema de RCP. Medidas adicionais já estão sendo introduzidas para evitar uso indevido semelhante.
A violação gera preocupações particulares sobre phishing e fraude de identidade, pois criminosos poderiam combinar o número de RCP de uma pessoa com seu nome e endereço para tornar os golpes mais convincentes. As autoridades dinamarquesas estão alertando as pessoas para não fornecerem senhas ou outras informações confidenciais simplesmente porque um ligador ou remetente de e-mail já conhece seus dados pessoais.
O incidente foi reportado à Agência de Proteção de Dados da Dinamarca, enquanto a polícia está conduzindo uma investigação separada. As autoridades ainda não identificaram quem foi o responsável ou divulgaram o que os atacantes pretendiam fazer com as informações acessadas.