Dinamarca: invasores usaram o acesso legítimo de uma empresa para copiar nome, endereço e número de identidade de 8,8 milhões de pessoas

Na Dinamarca, quase tudo passa pelo CPR, o Registro Central de Pessoas: o número de dez dígitos que começa pela data de nascimento e que aparece na conta do banco, na consulta médica, no contrato de trabalho. É o equivalente mais próximo do nosso CPF — com a diferença de que, no registro central, ele anda junto com o nome e o endereço de cada um.

Em 5 de outubro, o governo dinamarquês anunciou que dados de cerca de 8,8 milhões de pessoas registradas no CPR foram acessados por gente sem autorização: nomes, endereços e números do CPR, entre outras informações. O número é maior que a população do país, de pouco mais de 6 milhões, porque o registro também guarda pessoas que morreram ou que se mudaram para o exterior — são cerca de 11 milhões de registros no total, o que coloca o alcance em torno de 80% da base.

“É um incidente profundamente grave”, disse a ministra da Pesquisa, Educação e Digitalização, Christina Egelund, que levou o caso à comissão do Parlamento responsável pelo tema e pediu uma revisão completa de segurança do sistema.

Ninguém arrombou a porta

O detalhe mais importante está na forma do ataque. Segundo o comunicado oficial, os invasores conseguiram os dados abusando do acesso legítimo de uma empresa privada dinamarquesa, autorizada a consultar o CPR — e ficaram dentro dos limites do que empresas privadas podem consultar. Não houve, até onde se sabe, falha de software explorada. Houve uma credencial autorizada usada para o que não devia.

A autoridade dinamarquesa de proteção de dados, a Datatilsynet, notificada no domingo, 4 de outubro, descreveu o padrão: um número muito grande de consultas automatizadas ao sistema, com o objetivo de identificar números de CPR válidos e, a partir deles, puxar os dados de cada registro.

A linha do tempo diz muito:

• Setembro: as consultas irregulares acontecem ao longo do mês.
• Sexta-feira, 2 de outubro, à noite: a administração do CPR percebe o comportamento anormal.
• Fim de semana: confirma-se o acesso não autorizado e sua dimensão.
• Segunda-feira, 5 de outubro: o governo anuncia o caso; o acesso da empresa é cortado e a polícia investiga.

Ficaram de fora apenas as pessoas que tinham optado pela proteção de nome e endereço, um recurso que o próprio registro oferece.

O que o caso ensina a quem não é dinamarquês

Segundo o site The Record, é o incidente mais grave envolvendo o CPR desde 2015, quando dois CDs sem criptografia com dados de mais de 5 milhões de pessoas foram entregues por engano a um centro de vistos. Desta vez não houve engano: houve uma porta que estava aberta por contrato. É uma variação da mesma história que este blog já contou no caso dos 284 milhões de registros médicos — a porta não foi arrombada, foi aberta.

No Brasil, o paralelo é imediato. Bureaus de crédito, plataformas de verificação de identidade, correspondentes bancários, empresas de cobrança: muita gente tem acesso legítimo, por API ou por sistema, a bases que cruzam CPF, nome e endereço. A pergunta que o caso dinamarquês coloca para quem oferece esse acesso é desconfortável: um parceiro autorizado consultando milhões de registros, durante semanas, chamaria a atenção de alguém?

E para quem recebe o acesso — a empresa que consulta a base —, a pergunta é outra: quem, dentro de casa, consegue usar essa credencial, e de onde? Pela LGPD, quem trata dados pessoais responde pela segurança desse tratamento, inclusive quando o problema nasce numa credencial mal guardada.

Um número que não se troca

A orientação das autoridades dinamarquesas à população é a mesma que valeria aqui: nunca informar senhas ou dados confidenciais por telefone, e-mail ou mensagem — mesmo que a pessoa do outro lado pareça saber seu nome, seu endereço e seu número do CPR. O governo ampliou o horário da linha de atendimento de segurança digital para das 8h à meia-noite nos dias seguintes ao anúncio.

Senha vazada se troca em um minuto. Número de identidade acompanhado de nome e endereço, não. É por isso que a parte mais cara deste caso talvez nem tenha começado: ela chega nos próximos meses, em forma de ligações e mensagens que soam muito convincentes.

Fontes

• Ministério de Pesquisa, Educação e Digitalização da Dinamarca — “Omfattende uautoriseret adgang til borgeres CPR-oplysninger” (05/10/2026): fudm.dk
• Datatilsynet — “Datatilsynet er opmærksom på sag om opslag i CPR” (05/10/2026): datatilsynet.dk
• The Record — “Data breach at Denmark’s national population register exposes 8.8 million people” (05/10/2026): therecord.media

• BleepingComputer — “Denmark population registry data breach affects 8.8 million people” (05/10/2026): bleepingcomputer.com

• Foto de capa: Palácio de Christiansborg, sede do Parlamento dinamarquês, visto da Ponte de Mármore, em Copenhague — Moahim, CC BY-SA 4.0, via Wikimedia Commons

• Segunda imagem: prédio do Uddannelses- og Forskningsministeriet, em Copenhague — Jorge Láscar, CC BY 2.0, via Wikimedia Commons