Databruddet i Danmarks CPR-register har eksponeret personoplysninger tilhørende cirka 8,8 millioner mennesker. Myndighederne oplyser, at angribere misbrugte en privat dansk virksomheds legitime adgang til Det Centrale Personregister, kendt som CPR.
De berørte registre omfatter nuværende indbyggere, personer, der er flyttet til udlandet, og afdøde personer. Derfor betyder det samlede antal ikke, at 8,8 millioner mennesker, der i øjeblikket bor i Danmark, er berørt.
Myndighederne har blokeret virksomhedens adgang, mens politiet efterforsker, hvordan angriberne fik adgang til og misbrugte den.
Angribere misbrugte en virksomheds adgang til registret
CPR fungerer som Danmarks nationale personregister. Det indeholder oplysninger såsom navne, adresser, fødselsdatoer, civilstand og unikke CPR-numre.
Ifølge den officielle meddelelse brugte angriberne en privat virksomheds autoriserede forbindelse til at hente navne, adresser, CPR-numre og andre oplysninger.
Myndighederne har dog endnu ikke forklaret, hvordan angriberne fik kontrol over denne adgang. Den tilgængelige redegørelse identificerer heller ikke den involverede virksomhed.
Separat oplyste Datatilsynet, at hændelsen involverede en form for brute force-enumerering. Angriberne identificerede gyldige CPR-numre og hentede derefter oplysninger knyttet til disse poster.
Denne beskrivelse peger på gentagne opslag i registerposter. Den fastslår ikke i sig selv, at angriberne gættede adgangskoder til konti.
Cirka 80 procent af registerposterne berørt
Registret indeholder oplysninger om omkring 11 millioner personer. Med cirka 8,8 millioner berørte omfatter databruddet i Danmarks CPR-register omkring 80 procent af det samlede antal.
Myndighederne oplyser dog, at hændelsen ikke berørte alle i systemet.
Den uautoriserede aktivitet fandt sted i september 2026. CPR-administratorerne blev bekendt med bruddet den 2. oktober og fastslog det omtrentlige omfang i løbet af den efterfølgende weekend.
Myndighederne blokerede derefter den private virksomheds adgang for at forhindre yderligere brug af forbindelsen. Samtidig er politiets efterforskning fortsat i gang.
Regeringen indfører yderligere sikkerhedsforanstaltninger
Christina Egelund, Danmarks minister for forskning, uddannelse og digitalisering, beskrev hændelsen som yderst alvorlig. Hun informerede også Folketingets Erhvervsudvalg og Digitaliseringsudvalg.
Ifølge Egelund arbejder de relevante myndigheder sammen om at fastslå bruddets fulde omfang.
Myndighederne har også indført yderligere sikkerhedsforanstaltninger, der skal forhindre lignende hændelser. Meddelelsen indeholdt dog ingen tekniske detaljer om disse ændringer.
Der er derfor fortsat spørgsmål om den oprindelige kompromittering og det fulde omfang af de oplysninger, som angriberne fik adgang til.
Borgere advares om overbevisende svindelbeskeder
Myndighederne opfordrede borgerne til at være opmærksomme på uopfordrede telefonopkald, e-mails og anden kommunikation efter bruddet.
At nogen kender en persons navn, adresse eller CPR-nummer, beviser især ikke, at en person, der ringer eller sender en besked, er legitim. Angribere kan bruge de eksponerede oplysninger til at få svindelbeskeder til at fremstå mere troværdige.
Den officielle vejledning advarer folk mod nogensinde at udlevere adgangskoder eller andre fortrolige oplysninger som svar på sådan kontakt.
Samtidig tilbyder en særlig cyberhotline hjælp til personer, der potentielt er berørt. Myndighederne har også gjort vejledning tilgængelig via Danmarks nationale hjemmeside for digital sikkerhed.
0 svar til “Databrud i Danmarks CPR-register eksponerer oplysninger om 8,8 millioner mennesker”