Senha fraca pode estar ligada a vazamento que expôs dados de 8,8 milhões de pessoas na Dinamarca
Uma senha simples, como “123456”, pode ter facilitado o acesso indevido ao Registro Central de Pessoas da Dinamarca, conhecido pela sigla CPR. O sistema reúne informações da população do país, e o incidente teria permitido a consulta de dados relacionados a 8,8 milhões de pessoas.
Segundo relatos divulgados pela imprensa dinamarquesa, o invasor teria usado uma conta vinculada a uma empresa de tecnologia que possuía autorização para acessar o cadastro. Em entrevista ao jornal Politiken, uma pessoa que se apresentou como responsável pela invasão afirmou que entrou no sistema por meio dessa conta. Também alegou que ao menos três contas corporativas usavam a mesma senha, inclusive uma com privilégios administrativos.
Essas declarações, porém, não foram confirmadas oficialmente pelas autoridades. Até o momento, não há comprovação independente de que a senha “123456” tenha sido efetivamente usada no ataque. O que foi informado é que um acesso legítimo, concedido a uma empresa dinamarquesa, acabou sendo utilizado de forma indevida para consultar dados do CPR.
A administração do registro confirmou o incidente em 5 de outubro de 2026. Quatro dias depois, Sophie Laursen, diretora-geral da Pays ApS, empresa de tecnologia sediada na ilha de Funen, reconheceu que o acesso de sua companhia havia sido explorado. A Pays tinha autorização para fazer consultas ao cadastro e oferecia serviços como a validação de informações de clientes empresariais. Após a divulgação do caso, o site da empresa foi retirado do ar. A companhia não respondeu às perguntas sobre as alegações envolvendo senhas fracas.
Documentos obtidos pela emissora TV 2 indicam que o acesso ocorreu em 10 de setembro. Até o dia 20 daquele mês, teriam sido realizadas cerca de 14 milhões de consultas automatizadas. O CPR contém aproximadamente 11 milhões de registros, número que inclui pessoas falecidas e cidadãos que deixaram a Dinamarca. De acordo com o governo, informações associadas a 8,8 milhões de pessoas foram acessadas.
A quantidade elevada de consultas não levou a uma reação imediata. A atividade suspeita só foi detectada em 2 de outubro, 12 dias após o fim das buscas registradas. Durante uma coletiva, Mikkel Leihardt, diretor do Ministério do Ensino Superior e Ciência da Dinamarca, afirmou que a investigação começou depois que um funcionário percebeu uma fatura com volume de atividades muito acima do esperado para a Pays.
Assim, a anomalia foi identificada por meio de uma cobrança incomum, e não pela interrupção automática das consultas enquanto elas aconteciam. A autoridade dinamarquesa de proteção de dados, Datatilsynet, recebeu a notificação em 4 de outubro. No dia seguinte, o governo tornou o incidente público.
A pessoa que se atribuiu a invasão afirmou que não tinha intenção de vender nem divulgar as informações obtidas. Essa declaração não elimina os riscos: uma vez acessados, dados pessoais podem ser copiados, armazenados ou repassados sem que a organização afetada tenha como acompanhar seu destino. Também não há, nas informações divulgadas, confirmação de que os registros tenham sido publicados ou utilizados em outros crimes.
Por que uma senha fraca representa um risco tão grande
A senha “123456” é fácil de adivinhar e pode ser testada rapidamente por programas automatizados. Se uma credencial desse tipo protege uma conta com acesso a sistemas sensíveis, o problema deixa de ser apenas individual: uma única falha pode abrir caminho para a consulta de grandes volumes de informações. O risco aumenta quando a mesma senha é reutilizada em diferentes contas ou serviços.
O possível uso de uma conta corporativa autorizada também evidencia uma dificuldade comum na segurança digital. Nem sempre o invasor precisa explorar diretamente uma falha técnica no sistema central. Em alguns casos, basta comprometer a credencial de um parceiro que já recebeu permissão de acesso. Por isso, empresas que compartilham dados precisam avaliar não apenas suas próprias proteções, mas também os controles adotados por fornecedores e prestadores de serviço.
Outro ponto relevante é o volume de consultas. Uma integração legítima pode realizar buscas em grande escala, mas padrões fora do comportamento habitual deveriam acionar alertas. Limites de consultas, monitoramento contínuo e bloqueio automático diante de atividades anormais podem ajudar a conter uma exploração antes que milhões de registros sejam alcançados.
A autenticação multifator também reduz a dependência exclusiva de uma senha. Com esse recurso, o acesso exige uma segunda confirmação, como um código temporário ou uma chave de segurança. Para contas administrativas e acessos a bases governamentais, medidas adicionais – como permissões limitadas, revisão periódica de usuários e registro detalhado das operações – são especialmente importantes.
O caso ainda chama atenção para o tempo de detecção. As consultas teriam terminado em 20 de setembro, mas o alerta só surgiu em 2 de outubro, após a análise de uma fatura. Quanto maior o intervalo entre o início de uma atividade suspeita e sua identificação, mais tempo um invasor pode ter para reunir informações ou tentar outros acessos. A resposta depende, portanto, de mecanismos técnicos de monitoramento e de processos internos capazes de investigar desvios rapidamente.
Para as pessoas afetadas, é prudente desconfiar de mensagens, ligações ou comunicações inesperadas que pareçam conhecer informações pessoais. Dados de identificação podem ser usados para dar credibilidade a tentativas de fraude, inclusive pedidos falsos de pagamento ou de confirmação de credenciais. Uma abordagem que pressione a vítima a agir imediatamente, compartilhar códigos ou informar senhas deve ser tratada com cautela.
As autoridades dinamarquesas não confirmaram publicamente que “123456” tenha sido a senha usada no episódio. Ainda assim, os relatos apontam para um possível comprometimento de credenciais corporativas com acesso autorizado ao CPR e mostram como permissões válidas podem ser abusadas. A investigação sobre o ocorrido e sobre a extensão do acesso é essencial para esclarecer quais informações foram consultadas e quais medidas devem ser adotadas para evitar novos incidentes.