Dansk CPR-databrud: »123456« forbindes med 8,8 millioner registreringer

Det danske CPR-databrud har angiveligt eksponeret oplysninger knyttet til cirka 8,8 millioner CPR-numre, efter at angribere misbrugte en IT-virksomheds autoriserede adgang. Rapporter forbinder hændelsen med svag kontosikkerhed, herunder adgangskoden »123456«.

Odense-baserede Pays ApS bekræftede, at nogen havde misbrugt virksomhedens legitime adgang til Danmarks centrale personregister. Oplysningerne om adgangskoderne og metoden bag indbruddet stammer dog fra medieomtale og en anonym person, der hævder at stå bag angrebet.

Hændelsen rejser spørgsmål om, hvordan organisationer beskytter konti, der er forbundet med store offentlige databaser.

Pays ApS bekræfter misbrug af sin registeradgang

Pays ApS bekræftede angrebet fredag den 9. oktober. Administrerende direktør og ejer Sophie Laursen oplyste, at indtrængeren havde misbrugt virksomhedens tilladelse til at søge i CPR-systemet.

Ifølge Det Centrale Virksomhedsregister havde virksomheden to ansatte i juli 2026.

Rapporter identificerede mindst tre konti, der brugte »123456«. En så forudsigelig adgangskode giver kun ringe beskyttelse mod en angriber, der afprøver almindelige loginoplysninger.

Samtidig beskrev personen, der hævder at være ansvarlig, et oprindeligt indgangspunkt, som involverede en lækket adgangskode tilhørende en tidligere medarbejder. De tilgængelige oplysninger fastslår ikke tydeligt, hvordan disse loginoplysninger hænger sammen med de tre profiler, der angiveligt brugte »123456«.

Denne forskel er vigtig: Virksomheden bekræftede uautoriseret brug af sin adgang, mens den mere detaljerede beskrivelse af indbruddet fortsat bygger på angriberens egen forklaring.

Angriber hævder, at adgangen varede i tre uger

Ifølge den anonyme forklaring begyndte den uautoriserede adgang den 10. september og varede i 21 dage og 17 timer.

Personen hævdede at have skrevet to programmer, som hentede oplysninger fra registret og lagrede dem et andet sted. Vedkommende oplyste også, at hensigten ikke var at sælge eller offentliggøre dataene.

Denne forsikring giver dog ingen uafhængig garanti for, hvordan oplysningerne kan blive brugt eller gjort tilgængelige i fremtiden.

Det rapporterede omfang vedrører cirka 8,8 millioner CPR-numre. Dette repræsenterer ikke nødvendigvis 8,8 millioner nuværende indbyggere i Danmark.

Registret indeholder omkring 11 millioner registreringer, herunder personer, der er flyttet til udlandet, og personer, der er afgået ved døden. Derfor bør antallet af berørte registreringer ikke betragtes som et antal nulevende indbyggere.

Hvorfor private virksomheder kan søge efter CPR-oplysninger

Danmark bruger CPR-numre til at identificere personer på tværs af offentlige tjenester og mange transaktioner i den private sektor.

Autoriserede organisationer kan få adgang til visse registeroplysninger til formål som at kontrollere kundeadresser eller vedligeholde medlemsregistre. Derfor kan selv en lille virksomhed have legitime grunde til at søge i systemet.

Tilladelsen til at hente oplysninger skaber dog også en sikkerhedsmæssig afhængighed. Svage kontrolforanstaltninger hos en autoriseret organisation kan eksponere data, der opbevares i et langt større offentligt system.

Det danske CPR-databrud fremhæver derfor risiciene ved tredjepartsadgang ud over beskyttelsen af selve registret.

Virksomhedens størrelse alene afgør ikke, om adgangen var passende. De centrale spørgsmål handler om omfanget af denne adgang og de sikkerhedsforanstaltninger, der beskytter den.

Eksponerede CPR-numre kan gøre phishing mere troværdigt

Et CPR-nummer alene giver ikke nogen kontrol over en anden persons digitale identitet i MitID. Danmarks autentificeringssystem har yderligere kontrolmekanismer ud over kendskab til personnummeret.

Ikke desto mindre kan eksponerede personoplysninger understøtte svindelforsøg. Kriminelle kan inkludere korrekte oplysninger i beskeder for at få en falsk anmodning til at fremstå legitim.

De kan også kombinere oplysningerne med materiale fra tidligere databrud for at opbygge mere detaljerede profiler.

Danske myndigheder har derfor opfordret til forsigtighed ved uventede telefonopkald, e-mails og sms-beskeder, selv når afsenderen kender personlige oplysninger.

Folk bør ikke oplyse adgangskoder eller engangskoder til autentificering som svar på uopfordrede henvendelser. At en besked indeholder velkendte oplysninger, beviser ikke, at afsenderen repræsenterer en betroet organisation.