Senha “123456” pode ter facilitado vazamento de dados de 8,8 milhões de pessoas na Dinamarca
Uma senha considerada extremamente fraca pode ter sido a porta de entrada para um ataque cibernético que comprometeu informações de 8,8 milhões de pessoas na Dinamarca. Segundo relatos publicados pela imprensa local, o invasor teria utilizado uma conta protegida pela senha “123456” para acessar o Registro Central de Pessoas (CPR), banco de dados nacional que reúne informações da população dinamarquesa.
Uma pessoa que afirma ser responsável pelo ataque declarou ao jornal dinamarquês Politiken que conseguiu acessar o sistema por meio de uma conta pertencente a uma empresa de tecnologia. De acordo com a publicação, pelo menos três contas corporativas, incluindo uma com privilégios administrativos, utilizavam a mesma senha.
O suposto responsável também afirmou que não pretendia vender ou divulgar os dados obtidos. Entretanto, as autoridades não confirmaram publicamente os detalhes relacionados às senhas utilizadas.
A administração do CPR confirmou o incidente em 5 de outubro de 2026, informando que o acesso legítimo concedido a uma empresa dinamarquesa havia sido utilizado indevidamente para consultar informações do registro nacional.
Embora o governo não tenha identificado oficialmente a organização envolvida, Sophie Laursen, diretora-geral da Pays ApS, empresa de tecnologia localizada na ilha de Funen, confirmou em 9 de outubro que o acesso da companhia havia sido explorado.
A Pays possuía autorização para consultar o CPR e oferecer serviços como validação de registros de clientes empresariais. Após a divulgação do incidente, o site da companhia foi retirado do ar. A empresa não respondeu aos questionamentos do portal The Register sobre as alegações envolvendo o uso de senhas fracas.
Invasor realizou 14 milhões de consultas automatizadas
Segundo documentos obtidos pela emissora dinamarquesa TV 2, o invasor conseguiu acessar o sistema em 10 de setembro e realizou aproximadamente 14 milhões de consultas automatizadas até 20 de setembro.
O CPR contém cerca de 11 milhões de registros, incluindo informações de pessoas falecidas e cidadãos que se mudaram para outros países. O governo informou que dados relacionados a 8,8 milhões de pessoas foram acessados durante a invasão.
Apesar do volume expressivo de consultas, a atividade suspeita só foi identificada em 2 de outubro, 12 dias após as últimas buscas registradas.
Durante uma coletiva de imprensa, Mikkel Leihardt, diretor do Ministério do Ensino Superior e Ciência da Dinamarca, explicou que o incidente foi descoberto depois que um funcionário identificou uma fatura indicando um volume anormalmente elevado de atividades associado à Pays.
A descoberta ocorreu, portanto, por meio de uma inconsistência no faturamento, e não pela identificação imediata das consultas suspeitas durante sua execução.
A autoridade dinamarquesa de proteção de dados, Datatilsynet, foi notificada em 4 de outubro. No dia seguinte, o governo divulgou oficialmente o incidente.
Até o momento, não há confirmação independente de que a senha “123456” tenha sido efetivamente utilizada na invasão. As informações divulgadas, entretanto, apontam para um possível comprometimento de contas corporativas autorizadas a acessar uma base governamental que reúne dados de milhões de pessoas.
