Acesso legítimo de empresa vira porta de entrada para 8,8 milhões de registros

O incidente do CPR dinamarquês é, tecnicamente, um caso de abuso de acesso legítimo de terceiro — não uma intrusão clássica em infraestrutura governamental. Sob o artigo 38 da Lei do CPR (LBK nr. 1010 de 23 de junho de 2023), empresas privadas com interesse legítimo podem consultar subconjuntos predefinidos de dados do registro. Os atacantes usaram as credenciais de uma dessas empresas — descrita pela ministra como 'pequena' — para realizar um volume muito elevado de buscas automatizadas durante aproximadamente dez dias em setembro de

2026. O Datatilsynet caracterizou o padrão como 'um número muito grande de buscas automatizadas com o objetivo de identificar números de CPR válidos'. O BleepingComputer interpretou isso como uma forma de enumeração automatizada ou brute-force; essa inferência é tecnicamente plausível dado o formato do CPR (6 dígitos de data de nascimento + 4 sequenciais, último par/ímpar por sexo), mas não foi confirmada oficialmente.

O número 8,8 milhões provém dos próprios logs do CPR, não de alegação de ator de ameaça. O governo confirma que isso representa cerca de 80% dos ~11 milhões de registros no sistema. O excesso em relação à população residente (~6 milhões) é explicado por registros de falecidos e emigrantes — um dado que todas as fontes convergem e que faz sentido estrutural. O Datatilsynet, em sua nota pública de 5 de outubro, ainda descreveu os 8,8 milhões como 'alegadamente obtidos' porque não havia concluído a análise independente; isso não é contradição com o número do governo, mas cautela regulatória padrão.

Um ponto de tensão que a cobertura não resolveu: o acesso dos atacantes 'permaneceu dentro dos limites do que empresas privadas podem recuperar', segundo o comunicado oficial — o que implica que o sistema funcionou tecnicamente como projetado, mas foi usado para fins não autorizados em escala massiva. A falha não é uma vulnerabilidade de software: é uma falha de governança do acesso de terceiros — ausência de limites de taxa, de detecção de anomalias em tempo real e de auditoria contínua dos padrões de consulta de parceiros privados. A detecção tardunha (semanas de atividade antes de qualquer alerta) corrobora essa análise.

A empresa comprometida não foi identificada publicamente. Tampouco foi esclarecido se a empresa foi hackeada por um terceiro que roubou suas credenciais, ou se funcionários/insiders da empresa foram os agentes do abuso. Essa distinção é relevante para a cadeia de responsabilidade sob o GDPR e para qualquer ação futura do Datatilsynet. As fontes que afirmam que o acesso 'não foi revogado' (SC World, citando Security Affairs) contradizem fontes mais recentes e múltiplas que confirmam a revogação. A versão das fontes que confirmam revogação é mais bem sustentada.

O contexto adiciona gravidade: na mesma semana, a DTU divulgou violação separada de seu sistema de gestão de identidades (DTUBasen), afetando até 200 mil pessoas, incluindo números de CPR. Não há evidência pública de conexão entre os dois casos, e fontes que analisaram ambos confirmam a ausência de ligação documentada. Mas a coincidência temporal — e o fato de ambos os incidentes envolverem CPR numbers — torna a investigação policial mais sensível politicamente.

Aproximadamente 8,8 milhões de pessoas têm nomes, endereços e números de CPR em posse de atores desconhecidos. O CPR é um identificador vitalício e imutável — ao contrário de uma senha, não pode ser trocado. Isso eleva o risco de longo prazo para fraude de identidade, phishing direcionado e engenharia social. O risco imediato para acesso autônomo a serviços digitais é mitigado pelo MitID, o sistema de autenticação de dois fatores dinamarquês, que exige fator adicional além dos dados expostos. Pessoas com proteção de nome e endereço (um status registrado no CPR) não tiveram esses dados expostos, segundo a revisão inicial — mas não foi confirmado se seus números de CPR foram alcançados. O governo dinamarquês ativou linha direta de segurança digital com horário estendido (8h–meia-noite) e orienta cidadãos a desconfiar de contatos que demonstrem conhecer nome, endereço e CPR. A ministra informou o Parlamento e o Datatilsynet abriu processo formal, o que pode resultar em sanção administrativa sob o GDPR.