La contraseña que abrió 8,8 millones de identidades danesas era 123456

Todas las listas de peores contraseñas jamás publicadas colocan 123456 en lo más alto o muy cerca. La semana pasada resultó ser la llave del registro central de personas de Dinamarca.

El registro, llamado CPR, contiene el nombre, la dirección y el número de identidad de diez cifras de cada habitante del país. No es público, pero algunas empresas pueden obtener acceso legal para consultar fichas. Una de ellas era Pays ApS, una pequeña firma de Odense que en julio de este año tenía dos empleados. La prensa danesa indica que al menos tres cuentas de Pays usaban 123456, entre ellas una de administrador, y que esas credenciales pertenecían a un antiguo empleado y ya habían aparecido en una filtración anterior. Alguien entró y empezó a lanzar consultas automatizadas. Unos 14 millones. Nadie se dio cuenta hasta que llegó una factura anormalmente alta y un empleado fue a mirar, el 2 de octubre.

El botín abarca a unos 8,8 millones de personas, alrededor de 5,5 millones vivas y 3,3 millones fallecidas, es decir casi todo el país. La ministra de Digitalización, Christina Egelund, ha reconocido que las medidas de seguridad no eran suficientes y ha ordenado una revisión de todo el sistema. El veredicto de un catedrático danés de seguridad sobre esa contraseña fue "desesperante", y cuesta llevarle la contraria. No se movió dinero, pero los nombres y las direcciones verificadas son exactamente lo que hace que un mensaje fraudulento funcione, así que los daneses deben esperar correo convincente durante mucho tiempo.

La lección es más antigua que la filtración. Una sola contraseña débil o reutilizada en una cuenta que nadie vigila llega más lejos que cualquier otra cosa de la red. La comprobación de privacidad y cuentas de Tendvane revisa cómo inician sesión las cuentas de su propio PC y le dice cuáles siguen apoyándose solo en una contraseña.