Acesso legítimo terceirizado vira porta para 8,8 milhões de registros

Este incidente não é um ataque convencional. Ninguém penetrou os servidores do CPR diretamente. O vetor foi o abuso da conexão legítima de uma empresa privada dinamarquesa — descrita pelo Ministério como 'pequena empresa' — que detinha acesso ao sistema CPR com base no artigo 38 da Lei de Registro Civil dinamarquesa (LBK nr. 1010 de 23/06/2023). Esse artigo permite que entidades privadas com interesse legítimo consultem subconjuntos predefinidos de dados do CPR. Os atacantes usaram essa conexão para executar um volume massivo de consultas automatizadas — scraping sistemático — muito além do que qualquer autorização do artigo 38 permitiria.

O Datatilsynet (regulador) confirmou em seu comunicado de 5 de outubro que recebeu notificação em 4 de outubro e que, segundo a notificação, foram realizadas 'um número muito grande de consultas automatizadas ao sistema CPR com o objetivo de identificar CPR válidos'. Isso distingue o incidente de um acesso pontual: o padrão descreve uma operação de enumeração em escala industrial.

A administração do CPR confirmou oficialmente que os dados expostos incluem nomes, endereços e números CPR de aproximadamente 8,8 milhões de registros — cerca de 80% do total de 11 milhões que o registro contém. O número supera a população atual da Dinamarca (~6 milhões) porque o CPR inclui emigrantes e falecidos. Autoridades confirmaram que pessoas registradas com proteção de nome e endereço (navne- og adressebeskyttelse) não tiveram esses campos expostos, mas isso não exclui a possibilidade de que outros campos dos seus registros tenham sido acessados — distinção que o comunicado oficial faz implicitamente.

A linha de tempo revela uma janela de detecção problemática: o acesso não autorizado ocorreu durante aproximadamente dez dias em setembro, mas só foi identificado em 2 de outubro — gap de cerca de um mês. A detecção foi feita por um funcionário que percebeu atividade irregular, não por sistema automatizado de detecção de anomalia. Isso aponta para ausência ou ineficácia de monitoramento de comportamento de parceiros em tempo real. A ministra Christina Egelund declarou explicitamente que 'os controles em torno do acesso dessa empresa não foram bons o suficiente' — admissão de falha de governança, não de vulnerabilidade técnica desconhecida.

Um ponto que a cobertura majoritária não escrutinou: o comunicado oficial não descreve como os atacantes obtiveram acesso às credenciais da empresa privada. As hipóteses — comprometimento de credencial, insider, acesso indevidamente concedido — não foram descartadas nem confirmadas. Tratar qualquer dessas hipóteses como fato seria extrapolar o que as fontes sustentam. A investigação policial está em estágio inicial e nenhum ator foi identificado.

Contexto adicional relevante: na mesma semana, a Universidade Técnica da Dinamarca (DTU) divulgou incidente separado envolvendo até 200.000 usuários, com CPR entre os dados expostos. As investigações não ligaram os dois casos publicamente, mas a coincidência temporal em um país com um único número de identidade amplamente utilizado eleva o risco sistêmico: dados do CPR expostos em múltiplos vetores simultâneos aumentam a superfície para cruzamento e fraude direcionada.

Os 8,8 milhões de registros expostos incluem residentes vivos, emigrantes e falecidos — aproximadamente quatro em cada cinco registros do sistema. O número CPR é um identificador vitalício usado em praticamente toda interação com governo, bancos, sistema de saúde e serviços privados na Dinamarca. A combinação de nome + endereço + CPR constitui o conjunto mínimo necessário para tentativas de impersonação e bypass de verificações de identidade em instituições que tratam o CPR como credencial confiável. Autoridades dinamarquesas ativaram linha direta para cidadãos e alertaram explicitamente para uso de dados reais em ataques de phishing e engenharia social. O MitID (sistema de autenticação digital) não foi diretamente afetado segundo relatos, o que limita o risco de acesso imediato a contas digitais — mas não elimina o risco de fraude presencial ou por telefone usando dados reais. Pessoas com proteção de nome e endereço não tiveram esses campos expostos, segundo revisão inicial, mas a extensão exata do que foi acessado para cada perfil ainda está sendo mapeada.