Vazamento no registro populacional da Dinamarca expõe dados de 8,8 milhões de pessoas e cria risco elevado de fraude de identidade
O Registro Central de População (CPR) da Dinamarca confirmou uma violação de dados que expôs nomes, endereços, datas de nascimento, status conjugal e o número CPR de cerca de 8,8 milhões de pessoas — aproximadamente 80% da base de 11 milhões de registros. A invasão não comprometeu o sistema central diretamente, mas abusou do acesso legítimo concedido a uma empresa privada dinamarquesa, combinado com força bruta para enumerar números CPR válidos.
As autoridades dinamarquesas identificaram o incidente em 2 de outubro de 2026 e confirmaram, ao longo do fim de semana seguinte, que ele afetou a grande maioria da população registrada no CPR, o identificador nacional usado na Dinamarca para praticamente toda interação com bancos, saúde, previdência e serviços públicos — um papel ainda mais central do que o do CPF no Brasil, já que no sistema dinamarquês o número costuma ser usado também como parte da autenticação em diversos serviços.
O vetor de ataque é o que mais chama atenção: os criminosos não romperam diretamente as defesas do registro governamental, mas exploraram o acesso legítimo que uma empresa privada tinha ao sistema para fins operacionais. A partir desse ponto de entrada, usaram força bruta para enumerar números CPR válidos — que seguem uma estrutura previsível baseada em data de nascimento e um sequencial — e, para cada número confirmado, extraíram os dados pessoais associados. É um exemplo típico de fraude por elo mais fraco na cadeia: em vez de atacar o alvo final, o atacante compromete um terceiro com acesso privilegiado e menos controles de segurança.
O conjunto de dados exposto é particularmente valioso para fraude porque combina um identificador único e de uso generalizado com dados pessoais que normalmente servem para validá-lo (nome, endereço, data de nascimento, estado civil). Isso abre caminho para roubo de identidade, abertura fraudulenta de contas e linhas de crédito, fraude de identidade sintética e, sobretudo, phishing e vishing altamente direcionados — ligações ou mensagens que citam dados pessoais reais da vítima para parecer legítimas, uma tática muito mais eficaz do que abordagens genéricas, já que reduz drasticamente o ceticismo de quem recebe o contato.
Para os cidadãos afetados, a orientação prática é desconfiar de qualquer contato não solicitado que cite corretamente dados pessoais como justificativa de legitimidade, monitorar extratos bancários e consultas de crédito em nome próprio, e usar os canais oficiais abertos pelas autoridades dinamarquesas (linha direta de cibersegurança e orientações em sikkerdigital.dk) para reportar tentativas de fraude. Do lado institucional, o episódio reforça duas lições recorrentes em vazamentos desse tipo: acessos de terceiros a bases de identidade precisam de limitação de taxa e detecção de enumeração (um volume anômalo de consultas sequenciais deveria ter sido bloqueado muito antes), e identificadores nacionais estáticos e previsíveis continuam sendo um ponto frágil quando usados tanto para identificação quanto para autenticação — a tendência regulatória, inclusive em discussões de KYC/AML, é separar essas duas funções e migrar para credenciais rotativas ou tokenizadas.