Vazamento no registro civil da Dinamarca atinge 8,8 milhões

O registro civil dinamarquês, o CPR (Det Centrale Personregister), confirmou uma intrusão que expôs nomes, endereços e números de identificação de aproximadamente 8,8 milhões de pessoas — entre residentes atuais, quem já morou no país e falecidos. Os invasores usaram o acesso legítimo de uma empresa privada dinamarquesa para consultar o sistema em escala durante o mês de setembro. A ação prioritária é dupla: tratar a combinação de identificador nacional, nome e endereço como material pronto para golpes de impessoação e reavaliar os controles sobre acessos de terceiros a bases de dados sensíveis.

Segundo o comunicado oficial do CPR e do Ministério da Pesquisa, Educação e Digitalização, publicado em 5 de outubro, a administração do registro identificou o problema na noite de 2 de outubro de 2026, ao detectar um padrão anormal de consultas. A polícia investiga o caso, o acesso da empresa envolvida foi cortado e uma revisão de segurança completa do sistema foi determinada.

Como o acesso aconteceu

A via de entrada não foi um exploit desconhecido nem malware sofisticado. A lei dinamarquesa do CPR, no parágrafo 38, permite que empresas privadas com interesse legítimo consultem o registro para identificar pessoas por número, por data de nascimento e nome, ou por nome e endereço. Os invasores se apoiaram exatamente nesse mecanismo: em vez de quebrar a autenticação do sistema, exploraram uma credencial de consultas legalmente concedida a uma empresa, dentro dos limites de dados que esse tipo de credenciado pode ver.

A nota da Datatilsynet, a autoridade dinamarquesa de proteção de dados, acrescenta o detalhe operacional relevante: o órgão recebeu a comunicação do registro no dia 4 de outubro e descreve um número muito grande de consultas automatizadas para identificar números CPR válidos. Ou seja, houve enumeração em massa — consultas repetidas e mecânicas contra o sistema, executadas por dentro do perímetro de um acesso autorizado.

A ministra Christina Egelund classificou o caso como extremamente grave, informou a comissão de negócios e digitalização do parlamento e pediu um levantamento completo da extensão do incidente. Medidas adicionais já foram aplicadas ao CPR para impedir episódios semelhantes, e a investigação sobre os responsáveis segue em fase inicial, sem autoria conhecida.

O que vazou exatamente

Os campos atingidos foram nome, endereço e número CPR — o identificador nacional dinamarquês, que incorpora a data de nascimento mais um sufixo. Quem havia optado por proteção de nome e endereço no registro não teve esses campos expostos, segundo o comunicado. A base total reúne cerca de 11 milhões de registros, incluindo falecidos e emigrados, o que explica por que o número de atingidos supera a população do país: o equivalente a cerca de 80% de toda a base foi consultado sem autorização.

Um detalhe estrutural pesa contra as vítimas: como o número CPR embute a data de nascimento, quem teve o identificador vazado também teve a data revelada por tabela. Identificadores previsíveis e centrais facilitam a enumeração — e foi exatamente com consultas automatizadas que os invasores converteram um único acesso credenciado em milhões de registros.

O risco imediato é fraude

Um vazamento desse perfil não gera, por si, fraude financeira instantânea — ele habilita golpes de impessoação altamente convincentes. O próprio comunicado ministerial alerta que o cidadão nunca deve entregar senhas ou informações confidenciais por telefone ou e-mail, mesmo que a pessoa do outro lado conheça nome, endereço e número CPR da vítima. Esse aviso funciona como mapa do ataque seguinte: criminosos vão usar os dados reais para fingir autoridade, do falso suporte de banco ao falso atendente do governo.

O governo montou uma linha dedicada de apoio (Cyberhotline, +45 33 37 00 37, com horário estendido das 8h às 24h) e publicou orientações em sikkerdigital.dk. Para equipes de segurança fora da Dinamarca, o episódio é um lembrete direto: qualquer base central de identificadores nacionais vira alvo de enumeração. O vazamento do DMDC americano mostra que o padrão se repete entre países — dados de registro governamental vazados alimentam golpes duradouros muito depois do incidente original.

Lições para a defesa

O caso dinamarquês é um exemplo puro de abuso de acesso confiado: nenhum zero-day, nenhuma quebra de criptografia, apenas uma credencial legítima usada fora do propósito. Isso muda onde a detecção precisa morar. Autenticação forte no perímetro não basta quando o atacante entra com credencial válida; o sinal está no padrão de uso — volume, cadência, horário e distribuição das consultas.

Empresas que expõem APIs de consulta a terceiros devem tratar enumeração como cenário primário de ameaça: limites de taxa por credencial e por alvo, alertas sobre picos de volume, bloqueio de sequências de consultas em série e revisão periódica da real necessidade de cada acesso concedido. O modelo europeu de supervisão também cobra evidência: na União Europeia, o dossiê de evidências exigido pela NIS2 inclui justamente o controle de acessos e a capacidade de demonstrar quem consultou o quê, e quando — precisamente o registro de uso que permite a uma organização descobrir um abuso desse tipo antes do regulador.

Os prazos do episódio também servem de referência: o comportamento irregular ocorreu ao longo de setembro, a detecção veio na sexta-feira seguinte e a comunicação à autoridade de proteção de dados saiu no domingo, com anúncio público na segunda-feira. Sob o RGPD, a janela de notificação à autoridade é de 72 horas a partir da ciência do incidente — um relógio que qualquer organização que opere dados pessoais precisa ter ensaiado.

Sinais a verificar nos logs

• Pico de consultas por credencial de terceiro muito acima da linha de base histórica;
• Consultas em horário fora do padrão da empresa credenciada;
• Sequências numéricas ou consultas por faixa de datas de nascimento, padrão clássico de enumeração;
• Consultas a registros de falecidos ou emigrados, perfis raros em uso comercial legítimo;
• Uso da mesma credencial a partir de redes distintas das habituais do parceiro.

Prioridades P1 e P2

Para organizações que operam bases centrais ou concedem acesso a parceiros:

Fontes

• CPR — comunicado oficial do Ministério da Pesquisa, Educação e Digitalização da Dinamarca (5 de outubro de 2026)
• Datatilsynet — nota sobre consultas automatizadas ao CPR (5 de outubro de 2026)