Contraseña `123456` usada en una filtración de datos CPR daneses

Artículo original ↗ Discusión en Hacker News ↗

Una filtración masiva del registro civil nacional de Dinamarca (CPR) está atrayendo escrutinio después de que unos atacantes supuestamente accedieran al sistema usando una cuenta de administrador protegida por la contraseña “123456.” Los comentaristas sostienen que, aunque la contraseña trivial y la falta de autenticación multifactor son flagrantes, el problema más profundo es sistémico: los números de identidad críticos se reutilizan ampliamente tanto para identificación como para una cuasi-autenticación, el acceso de terceros está mal controlado y la monitorización solo reaccionó cuando aparecieron anomalías de facturación. Muchos piden una regulación más estricta, auditorías y tratar los identificadores tipo CPR como IDs públicos en lugar de secretos, señalando que de lo contrario son inevitables fallos similares.

Alcance de la filtración y contexto del CPR

  • CPR es el ID personal de 10 dígitos de Dinamarca, comparable a un SSN de EE. UU.; codifica la fecha de nacimiento y el sexo y se usa ampliamente para la identificación.
  • Muchos comentaristas sostienen que el CPR (y otros ID nacionales similares) debería tratarse como un identificador público, no como un secreto ni como un factor de autenticación.
  • Algunos lo comparan con Suecia y Noruega, donde los números personales o datos relacionados son más públicos y la autenticación depende de sistemas criptográficos y del inicio de sesión único nacional, no del propio ID.

Fallos técnicos inmediatos

  • La cuenta comprometida pertenecía a una pequeña empresa de terceros (dos empleados).
  • La contraseña era “123456”; según se informa, no había MFA y las políticas de contraseñas eran muy débiles o inexistentes.
  • La cuenta estaba vinculada a un exempleado y, al parecer, no fue deshabilitada, lo que indica una mala gestión de bajas y del ciclo de vida de las cuentas.
  • El abuso duró unos 21–22 días y solo se detectó porque el volumen de facturación se disparó, lo que implica que no había límites de tasa efectivos, detección de anomalías ni supervisión de accesos.

Problemas sistémicos más amplios

  • Muchos argumentan que el problema de raíz no es solo la contraseña débil, sino:
    • Otorgar a una pequeña empresa un acceso amplio a un registro crítico con una supervisión mínima.
    • Falta de diseño de privilegio mínimo y de límites de descarga.
    • Fallos estructurales en el uso del CPR conocidos desde hace años y que se han ido “tapando” con parches.
  • Algunos sugieren auditorías periódicas de terceros, al estilo PCI, y requisitos mínimos más estrictos (MFA, monitorización, controles de acceso).

Seguridad frente a productividad y usabilidad

  • Debate sobre si la seguridad y la productividad están inherentemente en tensión:
    • Un bando afirma que la gente se salta naturalmente los controles (por ejemplo, contraseñas simples) para sacar el trabajo adelante.
    • Otros responden con ejemplos (SSO, gestores de contraseñas, passkeys, FDE) en los que seguridad y usabilidad mejoran a la vez.
  • La frustración con una seguridad corporativa excesiva o mal diseñada que bloquea gestores de contraseñas o impone políticas inutilizables se contrasta con este caso, en el que casi no existían salvaguardas.

Responsabilidad, cultura y gobernanza

  • Se pide una responsabilidad más fuerte, que va desde mejor regulación y “códigos de construcción de software” hasta penas legales severas; otros advierten contra criminalizar errores honestos.
  • Preocupa repetidamente que las organizaciones conviertan en chivos expiatorios a personas de bajo nivel en lugar de corregir fallos sistémicos de diseño y gobernanza.

Tono y reacciones

  • Mezcla de indignación, resignación (“ya ni siquiera sorprende”) y humor negro, incluidas muchas referencias a “Spaceballs” y contraseñas en broma.