CPR-lækket: Navn og CPR-nummer beviser ikke længere, hvem I taler med

I mandags oplyste Forsknings-, Uddannelses- og Digitaliseringsministeriet, at uvedkommende har fået fat i navne, adresser og CPR-numre på ca. 8,8 mio. personer. Det skete ved at misbruge en dansk virksomheds lovlige adgang til CPR-registret. For jer betyder det, at navn, adresse og CPR-nummer ikke længere beviser, hvem I taler med. Og sagen viser, at en lovlig adgang til persondata kan misbruges i stor stil, før nogen opdager det.

En lovlig adgang blev brugt til at høste CPR-numre

Ifølge ministeriet holdt gerningsmændene sig inden for de oplysninger, som private virksomheder må få fra CPR. CPR-administrationen har anmeldt sagen til Datatilsynet. Ifølge tilsynet beskriver anmeldelsen et meget stort antal automatiserede opslag, altså opslag lavet af et program, for at finde gyldige CPR-numre.

Lækket omfatter både levende, døde og udrejste, men ikke navne og adresser på personer med navne- og adressebeskyttelse. Virksomhedens adgang er lukket, og politiet efterforsker sagen. Digitaliseringsminister Christina Egelund kalder det "en dybt alvorlig hændelse".

Misbruget blev opdaget på regningen

CPR-administrationen blev opmærksom på aktiviteten fredag aften 2. oktober. Ifølge DR var det en dyr faktura til en mindre dansk virksomhed, der afslørede misbruget. Det bekræftede afdelingschef Mikkel Leihardt fra ministeriet på et pressemøde i går. Hvert opslag i CPR koster penge, og beløbet var meget stort. Misbruget stod på i omkring ti dage i september.

Myndighederne vil ikke sige, hvilken virksomhed det er. Politiet kunne i går ikke sige, hvem der står bag, eller hvordan det er gjort. Lektien gælder også for jeres egne systemer: En lovlig adgang ser lovlig ud, indtil nogen holder øje med, hvor meget den bliver brugt.

Navn, adresse og CPR-nummer er ikke længere bevis

I går opfordrede Styrelsen for Samfundssikkerhed myndigheder og virksomheder til ikke at udlevere følsomme oplysninger alene på baggrund af CPR-oplysninger. Det gælder bl.a., når der deles følsomme personoplysninger, eller når sagen kan få økonomiske følger for den, det handler om.

Dansk Industri (DI) peger på tre steder, hvor virksomheder typisk er sårbare. I kundeservice kan en falsk kunde med det rigtige CPR-nummer og den rigtige adresse få ændret kontaktoplysninger eller udbetalt penge til en anden konto. I IT-helpdesken står døren åben, hvis en adgangskode eller tofaktorgodkendelse (MFA) nulstilles, fordi den, der ringer, kan oplyse navn og CPR-nummer. MFA er den ekstra bekræftelse af et login, fx i en app på telefonen. Og i økonomifunktionen bliver svindel med ændrede kontonumre mere troværdig, når svindleren kender de rigtige personoplysninger. Ifølge DI er jeres egne medarbejderes CPR-numre med stor sandsynlighed også i lækket.

Styrelsen anbefaler i stedet login med MitID eller en engangskode til et telefonnummer eller en e-mail, I allerede har registreret. I kan også stille kontrolspørgsmål om selve kundeforholdet, fx kundenummer eller seneste fakturanummer. Ved ændringer med økonomisk eller sikkerhedsmæssig betydning anbefaler styrelsen manuel kontrol eller en karensperiode, altså en ventetid, før ændringen gennemføres.

Har I selv CPR-adgang, så se på, hvem der bruger den

Dansk Erhverv opfordrer virksomheder med egen CPR-adgang til at se på, hvem der har adgang, og om de ville opdage et usædvanligt stort antal opslag. Organisationen spørger også, om I overhovedet har brug for at gemme CPR-numre alle de steder, I gør i dag. Som organisationen skriver: "Jo færre steder oplysningerne ligger, desto mindre er der at miste ved en kommende sikkerhedshændelse." De samme spørgsmål er værd at stille til jeres øvrige systemer med persondata, fx løn, økonomi og kundedatabase.

Det kan I gøre nu

• Find de steder, hvor navn, adresse eller CPR-nummer i dag er nok til at komme igennem, fx i kundeservice, helpdesk, bogholderi og HR.
• Sig til medarbejderne, at CPR-nummeret alene ikke er nok. Er de i tvivl, skal de lægge på og ringe tilbage på et nummer, I allerede har registreret.
• Brug MitID eller kontrolspørgsmål om kundeforholdet, og indfør ekstra kontrol eller ventetid, før I ændrer kontonumre, adresser eller kontaktoplysninger.
• Lad ikke helpdesken nulstille adgangskoder eller MFA alene ud fra navn og CPR-nummer.
• Luk adgange til persondata, som ikke bruges, også fra tidligere medarbejdere, og kræv MFA på dem, der er tilbage.
• Sørg for, at nogen får besked, hvis en konto pludselig laver langt flere opslag eller udtræk end normalt.
• Advar medarbejderne om, at svindlere kan kende deres navn, adresse og CPR-nummer, og anmeld konkrete svindelforsøg til politiet.

Vi kan hjælpe med IT-sikkerhedsrådgivning, fx en gennemgang af jeres identitetskontrol og adgange til persondata, som I og jeres IT-leverandør kan arbejde ud fra.

Kilder

• Omfattende uautoriseret adgang til borgeres CPR-oplysninger, Forsknings-, Uddannelses- og Digitaliseringsministeriet
• Datatilsynet er opmærksom på sag om opslag i CPR, Datatilsynet
• CPR-læk blev opdaget på grund af dyr faktura, DR (Ritzau)
• Myndigheder, organisationer og virksomheder bør supplere deres identitetskontrol efter læk fra CPR-registeret, Styrelsen for Samfundssikkerhed
• Guide efter CPR-læk: Sådan identificerer I kunderne nu, DI Business
• Styrelsen for Samfundssikkerhed med nye anbefalinger efter uautoriseret adgang til CPR-registret, Dansk Erhverv