Interpretación editorial: la filtración del CPR muestra que, en sistemas centralizados, el punto débil suele ser el acceso delegado y legítimo. Quien consigue la llave de un cliente de confianza hereda su confianza. Lo que acota el daño es si cada acceso tiene límites de volumen, alertas y registros que alguien revisa. Flock y Wikimedia son casos independientes, sin causa común demostrada, que ilustran lo mismo desde otros ángulos: accesos autorizados o abiertos a escala, con auditoría difícil o cara.

El CPR es el identificador único de cada persona en Dinamarca y sus seis primeros dígitos codifican la fecha de nacimiento. Con esta exposición, el número y la dirección dejan de ser algo que se pueda suponer desconocido para terceros, como dice el profesor de ciberseguridad de Aarhus Jens Myrup Pedersen en DR. Pedersen sostiene que el CPR por sí solo no debería bastar para pedir un crédito, y que la combinación de CPR y dirección hace más creíbles el phishing y la suplantación. Dinamarca confía en MitID para la autenticación, así que el riesgo inmediato es de ingeniería social más que de acceso directo a cuentas. La exposición, además, no se puede revertir: un número de identidad no se cambia como una contraseña, y el Gobierno aún no sabe si lo hará.

Qué vigilar: Comprobable en las próximas semanas: (1) si el Ministerio o la policía revelan qué tipo de empresa era, cómo se usó su acceso (credenciales robadas, abuso interno o enumeración) y si las consultas excedieron lo que el art. 38 permite; (2) si el CPR anuncia límites de volumen, alertas por consultas anómalas o recortes de acceso para empresas privadas; (3) si el Gobierno fija plazo y alcance de la revisión de seguridad y decide si ofrece nuevos números CPR; (4) si OpenAI publica una verificación de su relación con los hallazgos de Wikimedia.

Descodificado: hay noticias, y luego está lo que significan.