Det danske CPR-datainnbruddet skal ha eksponert informasjon knyttet til omtrent 8,8 millioner personnumre etter at angripere misbrukte et IT-selskaps autoriserte tilgang. Rapporter knytter hendelsen til svak kontosikkerhet, inkludert passordet «123456».
Odense-baserte Pays ApS bekreftet at noen hadde misbrukt selskapets legitime tilgang til Danmarks folkeregistersystem. Opplysningene om passordene og innbruddsmetoden kommer imidlertid fra medieomtale og en anonym person som hevder å stå bak angrepet.
Hendelsen reiser spørsmål om hvordan organisasjoner beskytter kontoer som er koblet til store offentlige databaser.
Pays ApS bekrefter misbruk av sin registertilgang
Pays ApS bekreftet angrepet fredag 9. oktober. Administrerende direktør og eier Sophie Laursen opplyste at inntrengeren hadde misbrukt selskapets tillatelse til å søke i CPR-systemet.
Ifølge Danmarks sentrale virksomhetsregister hadde selskapet to ansatte per juli 2026.
Rapporter identifiserte minst tre kontoer som brukte «123456». Et så forutsigbart passord gir liten beskyttelse mot en angriper som prøver vanlige påloggingsopplysninger.
Samtidig beskrev personen som hevder å stå bak angrepet, et første inngangspunkt som involverte et lekket passord tilhørende en tidligere ansatt. De tilgjengelige opplysningene fastslår ikke tydelig hvordan denne påloggingsinformasjonen henger sammen med de tre profilene som angivelig brukte «123456».
Dette skillet er viktig: Selskapet bekreftet uautorisert bruk av tilgangen sin, mens den mer detaljerte beskrivelsen av innbruddet fortsatt bygger på angriperens egen forklaring.
Angriperen hevder at tilgangen varte i tre uker
Ifølge den anonyme forklaringen begynte den uautoriserte tilgangen 10. september og varte i 21 dager og 17 timer.
Personen hevdet å ha skrevet to programmer som hentet informasjon fra registeret og lagret den et annet sted. Vedkommende sa også at hensikten ikke var å selge eller publisere dataene.
Denne forsikringen gir imidlertid ingen uavhengig garanti for hvordan informasjonen kan bli brukt eller gjort tilgjengelig i fremtiden.
Det rapporterte omfanget gjelder omtrent 8,8 millioner CPR-numre. Dette representerer ikke nødvendigvis 8,8 millioner nåværende innbyggere i Danmark.
Registeret inneholder rundt 11 millioner oppføringer, inkludert personer som har flyttet til utlandet, og personer som har gått bort. Derfor bør antallet berørte oppføringer ikke behandles som et antall nålevende innbyggere.
Hvorfor private selskaper kan søke etter CPR-opplysninger
Danmark bruker CPR-numre til å identifisere personer på tvers av offentlige tjenester og mange transaksjoner i privat sektor.
Autoriserte organisasjoner kan få tilgang til visse registeropplysninger for formål som å kontrollere kundeadresser eller vedlikeholde medlemsregistre. Dermed kan selv en liten bedrift ha legitime grunner til å søke i systemet.
Tillatelsen til å hente informasjon skaper imidlertid også en sikkerhetsavhengighet. Svake kontrollmekanismer hos en autorisert organisasjon kan eksponere data som er lagret i et langt større offentlig system.
Det danske CPR-datainnbruddet fremhever derfor risikoene knyttet til tredjepartstilgang, i tillegg til beskyttelsen av selve registeret.
Selskapets størrelse alene avgjør ikke om tilgangen var passende. De sentrale spørsmålene gjelder omfanget av denne tilgangen og sikkerhetstiltakene som beskytter den.
Eksponerte personnumre kan gjøre phishing mer troverdig
Et CPR-nummer alene gir ikke noen kontroll over en annen persons digitale identitet i MitID. Danmarks autentiseringssystem har ytterligere kontroller utover kjennskap til personnummeret.
Likevel kan eksponerte personopplysninger brukes til svindelforsøk. Kriminelle kan inkludere korrekte opplysninger i meldinger for å få en falsk forespørsel til å virke legitim.
De kan også kombinere informasjonen med materiale fra tidligere datainnbrudd for å bygge mer detaljerte profiler.
Danske myndigheter har derfor oppfordret til forsiktighet ved uventede telefonsamtaler, e-poster og tekstmeldinger, selv når avsenderen kjenner til personlige opplysninger.
Folk bør ikke oppgi passord eller engangskoder for autentisering som svar på uoppfordrede henvendelser. At en melding inneholder kjent informasjon, beviser ikke at avsenderen representerer en pålitelig organisasjon.
0 responses to “Dansk CPR-datainnbrudd: «123456» knyttes til 8,8 millioner oppføringer”