Contraseña 123456: lo que la filtración de Dinamarca enseña a cualquier pyme

Dinamarca es uno de los países más digitalizados del mundo, y aun así la que podría ser la mayor filtración de su historia habría empezado con la contraseña que cualquiera adivina primero. El 5 de octubre, las autoridades confirmaron que alguien abusó del acceso legal de una empresa privada al Registro Central de Población (CPR) y obtuvo nombres, direcciones y números de identificación de unos 8.8 millones de personas.

La cifra supera a la población del país, unos 6 millones, porque el registro tiene cerca de 11 millones de entradas e incluye a personas fallecidas o que se fueron al extranjero, según The Register. El detalle que lo volvió viral es otro: cómo habrían entrado.

Qué pasó, según las fuentes

• La puerta de entrada. Pays ApS, una empresa de Odense que ofrecía a sus clientes limpiar y actualizar bases de datos contra el registro. Según el registro mercantil danés, tenía dos empleados en julio de 2026 (Copenhagen Post y Clubic).
• La contraseña. Politiken reportó que al menos tres cuentas de Pays, incluida la de administrador, usaban "123456". Un hacker anónimo dijo al diario que entró con la contraseña filtrada de un exempleado. TV 2 afirma que su propia investigación coincide, según Malwarebytes.
• El volumen. Más de 14 millones de búsquedas automáticas a mediados de septiembre, en unos diez días, de acuerdo con documentos citados por The Register.
• La detección. Nadie lo notó por una alarma. El 2 de octubre, 12 días después de las últimas búsquedas, la administración del registro vio una factura inusualmente alta de Pays, que paga por consulta, según El País, y cortó el acceso.

Conviene una precaución: el gobierno danés no ha confirmado que la contraseña fuera 123456, y Pays no respondió a The Register sobre ese punto. El profesor Jens Myrup Pedersen, de la Universidad de Aarhus, dijo a El País que no pudo verificarlo, pero lo consideró posible. Lo que sí está confirmado es que se abusó del acceso legítimo de una empresa pequeña.

«No hay realmente seguridad, es una puerta abierta. Una contraseña como "123456" es de las primeras cosas que probarías con una lista de contraseñas comunes.» — Jens Myrup Pedersen, profesor de la Universidad de Aarhus, a Politiken (traducción de Bit Farm)

Por qué importa a una pyme mexicana

La lección no es sobre Dinamarca, sino sobre quién tiene la llave. Una empresa de dos personas tenía acceso a datos de millones, y su seguridad era la de cualquier negocio pequeño: un acceso de empleado, una clave débil, nadie vigilando. Pino Caballero-Gil, catedrática de la Universidad de La Laguna, señaló a El País que el peligro más común está en los intermediarios con permisos y en la falta de alertas ante descargas masivas.

En México esa descripción se parece a la mayoría de los negocios. Según el Censo Económico de INEGI, en 2023 las microempresas fueron 95.4% de las 5,468,180 unidades económicas privadas y paraestatales. Muchas manejan correo, banco, facturación y quizá un sistema con datos de clientes, y la seguridad de todo eso suele recaer en alguien que no es experto ni tiene tiempo de serlo.

Los datos robados sirven después para engañar: Pedersen advirtió a El País que, con nombre, dirección y número de identificación, un estafador puede hacerse pasar por la policía o un hospital y ser creíble. En México, de las 22,199 reclamaciones que CONDUSEF recibió directamente entre enero y marzo de 2026, el 37.4% se relacionó con un posible fraude. Son reclamaciones de usuarios financieros, no de empresas, pero muestran cuánto pesa el engaño cuando el atacante ya sabe algo de ti.

Y hay un hilo con la semana: los agentes de IA que piden acceso a tu correo y tus aplicaciones son tan seguros como la llave que les des. Antes de delegar en una herramienta, conviene revisar la cerradura.

Cinco acciones para esta semana

• Usa un gestor de contraseñas. Una clave larga y distinta por servicio, generada por el gestor, y fuera de hojas de cálculo, notas o chats. Malwarebytes recomienda no reutilizar contraseñas ni usar las personales en cuentas de trabajo.
• Activa la verificación en dos pasos. Empieza por correo, banco, facturación, hosting y redes. Cuando el servicio lo permita, prefiere una app de autenticación o llaves de acceso (passkeys) antes que el SMS. Pedersen apuntó a la falta de autenticación multifactor como una causa principal del caso.
• Una persona, un acceso. Evita cuentas compartidas tipo "admin" que usa todo el equipo. Si cada quien entra con su usuario, sabes quién hizo qué y puedes cerrar un acceso sin romper los demás.
• Da de baja accesos el mismo día. Cuando alguien deja la empresa, retira su correo, sus sistemas y sus cuentas compartidas, y cambia las claves que conocía. Una lista simple de quién tiene acceso a qué basta.
• Revisa qué se filtró y qué se mueve. Consulta si tus correos aparecen en filtraciones conocidas en Have I Been Pwned y activa alertas de inicio de sesión inusual. En Dinamarca el patrón anormal se vio por una factura, 12 días tarde.

Pregunta también a quienes ya manejan tus datos, como contador, agencia o proveedor de software, cómo protegen sus accesos. Si algo falla ahí, tu información también está en juego.

Cómo podemos ayudar

En Bit Farm acompañamos a pymes mexicanas con hosting, sitios y sistemas en la nube. Podemos ayudarte a ordenar accesos, activar la doble verificación en tus servicios clave y dejar un procedimiento sencillo de altas y bajas que tu equipo realmente use.

Fuentes: The Register (13 oct) y The Register (6 oct); El País; The Copenhagen Post; Clubic; Malwarebytes; Politiken (caso en Dinamarca); INEGI, Censos Económicos 2024 (empresas en México); CONDUSEF, comunicado 081 (reclamaciones por posible fraude).