Lækket af cirka 8,8 mio. CPR-numre viser, hvor hurtigt stjålne data kan omsættes til målrettet svindel. Med generativ AI bliver angreb lettere at skalere og dyrere at afværge.
AI gør cyberangreb billigere at starte og dyrere at stoppe.
Det er konklusionen efter lækket, hvor uvedkommende via en virksomheds lovlige adgang til CPR-systemet fik uautoriseret adgang til navne, adresser og cirka 8,8 millioner CPR-numre.
Når sådan en datamængde først er ude, bliver den et råstof for mere målrettet svindel, og generativ AI kan skalere angrebene, så de rammer flere danske virksomheder på kortere tid.
Det oplyser Finans.
AI skalerer phishing og afpresning
Generativ AI gør især to ting lettere: at skrive troværdige beskeder og at automatisere “forarbejdet” i et angreb.
Med et stort datasæt som CPR-oplysninger kan kriminelle skræddersy mails, sms’er og telefonmanuskripter, så de rammer rigtigt med navn, adresse og en plausibel historie.
Det øger chancen for, at en medarbejder godkender en overførsel eller udleverer login.
Samtidig peger FBI’s Internet Crime Complaint Center på, at phishing og spoofing fortsat er blandt de mest udbredte kriminalitetstyper målt på antal anmeldelser, og at de samlede rapporterede tab i 2024 oversteg 16 mia. dollar.
Det siger noget om økonomien i at industrialisere social engineering, også selv om tallene er amerikanske.
CPR-lækket ændrer risikobilledet herhjemme
Ifølge en pressemeddelelse gengivet af DR blev adgangen opnået ved at misbruge en dansk virksomheds legitime søgeadgang, og myndighederne har stoppet adgangen og anmeldt sagen til Datatilsynet.
Pointen for erhvervslivet er, at et personnummer ikke i sig selv åbner systemer, men at kombinationen af basale identitetsdata og AI-genererede henvendelser gør identitetssvindel og konto-overtagelser billigere.
Europol beskriver i IOCTA 2024, hvordan ransomwaregrupper splintrer og rebrander, mens markedet for stjålne data fortsætter.
Det gør trusselsbilledet mere fragmenteret og sværere at forudsige, og virksomheder kan ikke længere regne med, at “kendte” grupper er de eneste modparter.
Det næste danske signal at holde øje med
For danske virksomheder bliver prioriteten at reducere, hvad en enkelt fejl kan føre til.
Det betyder multifaktor på alle kritiske konti, strammere adgangsstyring til tredjepartsleverandører og øvelser i betalings- og identitetssvindel, ikke kun klassisk phishing.
Det afgørende signal de kommende måneder er, om CPR-hændelsen udløser nye krav til logning, monitorering og leverandørkontrol i offentlige registre.
Hvis ja, vil det hurtigt smitte af på private aktører, fordi kunder og partnere vil kræve samme dokumentation.
Cyberrisikoen bliver dermed ikke bare et it-problem, men en compliance- og omkostningspost i budgettet.
Christian Pedersen er journalist på FinansFokus og dækker markeder, investering og erhvervsliv.
