8,8 millioner CPR-numre kompromitteret i stort datalæk

En uautoriseret aktør har i cirka 10 dage i september misbrugt en privat dansk virksomheds legitime systemadgang til CPR-registeret og stjålet navne, adresser og CPR-numre på 8,8 millioner registrerede danskere.

Sådan blev bruddet opdaget

CPR-administrationen opdagede uregelmæssig systemadfærd fredag den 2. oktober om aftenen. Over weekenden stod det klart, at 8,8 millioner personers data var blevet kompromitteret. CPR-systemet indeholder i alt data på omkring 11 millioner registrerede – levende, udrejste og døde borgere. Personer med navne- og adressebeskyttelse er ikke ramt. Virksomhedens adgang til systemet er siden blevet stoppet.

Minister: Sikkerheden var ikke god nok

Digitaliseringsminister Christina Egelund (M) har orienteret Folketingets Erhvervs- og Digitaliseringsudvalg om sagen. "Det er tydeligt for mig, at sikkerhedsforanstaltningerne omkring den her virksomheds adgang til CPR ikke har været gode nok," siger ministeren, der oplyser, at der nu er sat initiativer i gang for at forhindre lignende hændelser.

Ministeriet understreger samtidig over for borgerne, at man aldrig skal udlevere koder eller andre personlige oplysninger over telefonen eller i mails – heller ikke selvom en opringning eller mail refererer til det aktuelle datalæk.

Politiet efterforsker

National enhed for Særlig Kriminalitet (NSK) har indledt en efterforskning. Ifølge NSK er sagen tidligt i forløbet, men prioriteres højt. Der er endnu ikke identificeret nogen gerningsmand. Datatilsynet er også koblet på sagen.

Hvad sker der nu

Myndighederne har sat en gennemgribende sikkerhedsgennemgang af hele CPR-systemet i gang, og samarbejdet med sikkerhedsspecialister og øvrige myndigheder fortsætter. Cybersikkerhedsprofessor Jens Myrup Pedersen fra Aarhus Universitet beskriver de lækkede data som "en guldgrube at få fat i for kriminelle", fordi kombinationen af navn, adresse og CPR-nummer gør det muligt at udføre målrettet phishing og identitetstyveri.