Sådan blev Danmarks største CPR-databrud opdaget

Det var hverken automatiske alarmer eller stikprøvekontrol, der førte til, at Danmarkshistoriens største CPR-databrud blev opdaget. I stedet var det en ualmindeligt dyr regning udstedt til "en mindre virksomhed" ved september måneds udgang, der fik myndighederne til at spærre øjnene op. Det erfarer DR Nyheder.

Når virksomheder med lovlig adgang til CPR-registeret foretager en søgning, koster det penge per søgning, og her var det samlede beløb bemærkelsesværdigt højt for den mindre virksomhed i september — hvilket udløste alarmen. DR har ikke kunnet fastslå, hvor stor regningen var.

Ifølge en pressemeddelelse fra Forsknings-, Uddannelses- og Digitaliseringsministeriet blev CPR-administrationen om aftenen fredag den 2. oktober opmærksom på, at der i løbet af september havde været uregelmæssig adfærd i CPR-systemet. I løbet af weekenden blev det klart, at uvedkommende havde skaffet sig uautoriseret adgang til navne, adresser og CPR-numre på omkring 8,8 millioner registrerede personer — både levende, udrejste og døde — i personregistret. Den uautoriserede adgang løb over 10 dage, og den skete ved at misbruge en mindre dansk virksomheds lovlige adgang til registret.

Forperson for Cybersikkerhedsrådet, Jacob Herbst, bliver bekymret, da DR Nyheder forelægger ham, hvordan datamisbruget blev opdaget: "Det er ret chokerende, jeg ville nok have en forventning om, at der var væsentligt mere systematik i forhold til at holde øje med sådan nogle ting," siger han. "Det virker for tilfældigt, at det er en medarbejder, der laver fakturering, som opdager et kæmpe brud." Han kalder det "lemfældigt", at der ikke er bedre overvågning, og mener, at systemet burde reagere automatisk, hvis et lille firma pludselig foretager store udtræk af data.

Digital efterforsker Jan Kaastrup fra cybersikkerhedsvirksomheden CSIS beskriver sikkerheden omkring CPR-systemet som "en hestevogn, hvor andre kører i Porsche": "Der er flere ting ved det, der bare skriger på at blive skiftet." Han peger blandt andet på, at et CPR-nummer ikke kan ændres, hvis det bliver lækket — det svarer til at have samme adgangskode resten af livet til en lang række systemer.

Statsminister Mette Frederiksen (S) sagde tirsdag, at det er "en hændelse, der ikke burde kunne ske", og at hun har "en klar forventning om, at de ansvarlige myndigheder forfølger alle relevante spor og har iværksat de nødvendige tiltag." Digitaliseringsminister Christina Egelund (M) udtalte mandag, at der "helt tydeligt" er en brist i CPR-systemets sikkerhedssystemer. Efter artiklens oprindelige udgivelse har myndighederne på et pressemøde bekræftet, at det var den unormalt dyre faktura, der gjorde dem opmærksomme på databruddet.

---

Kilde: DR — https://www.dr.dk/nyheder/indland/saadan-blev-cpr-databrud-opdaget-det-er-ret-chokerende