En anonym hacker hævder, at adgangen til CPR-data kom via et lækket, svagt password.Sagen viser, hvor dyrt identitets- og leverandørsvigt kan blive for både myndigheder og virksomheder.
CPR-registeret er igen i fokus, efter at en anonym person nu hævder at have stået bag det omfattende datamisbrug, hvor oplysninger blev hentet ud via en virksomheds legitime adgang.
Ifølge oplysningerne kom adgangen via et lækket og meget svagt password, hvilket peger på et klassisk sikkerhedsproblem: Identitet er blevet den tyndeste del af forsvaret.
Det centrale spørgsmål for virksomheder er ikke kun, hvordan 8,8 millioner CPR-numre kunne tilgås, men hvad hændelsen siger om modenheden i adgangsstyring, overvågning og leverandørkontrol i systemer, som hele samfundets økonomi og drift hviler på.
Det oplyser Finans.
Et password kan åbne en hel kæde
Ministeriet har tidligere oplyst, at uvedkommende misbrugte en dansk virksomheds lovlige adgang til at søge i CPR-systemet og fik uautoriseret adgang til navne, adresser og CPR-numre for cirka 8,8 millioner registrerede personer.
Det fremgår også, at virksomheden fik lukket adgangen, og at sagen er anmeldt til Datatilsynet.
Når et angreb kan starte med et kompromitteret password fra en tidligere medarbejder, bliver “offboarding” pludselig kritisk infrastruktur.
Hvis adgang ikke lukkes, eller hvis der ikke kræves flerfaktor-login for følsomme systemer, kan en enkelt fejl forplante sig langt ud i værdikæden.
Overvågning blev trigget af en faktura
DR har beskrevet, at hændelsen ikke blev opdaget af alarmer eller stikprøver, men fordi en usædvanligt stor faktura for opslag i CPR fik myndighederne til at reagere.
For cybersikkerhed handler det om detektion: uden klare loft over forespørgsler, adfærdsanalyse og alarmer på masseopslag kan misbrug fortsætte i dage.
CPR-kontoret oplyser samtidig, at registret rummer data om ca. 11,4 millioner personer, herunder knap 6,1 millioner nulevende.
Det understreger, hvor store datamængder der i praksis kan tilgås, hvis kontrollerne ikke matcher risikoen.
Det næste, virksomheder bør holde øje med
Datatilsynet peger på, at multifaktorautentifikation kan være nødvendig ved adgang til beskyttelsesværdige personoplysninger, især via internettet.
Sikkerdigital.dk anbefaler desuden stærke, unikke adgangskoder på mindst 15 tegn og to-faktor login.
For ledelser og bestyrelser er læringen, at “basale” kontroller som MFA, logning, rate limiting og stram leverandørstyring ikke er it-hygiejne, men forretningskritiske risikostyringsværktøjer.
Det er også her, NIS2-krav og kommende tilsyn kan gøre hændelser som CPR-sagen til en compliance- og omdømmerisiko, ikke kun et teknisk problem.
Christian Pedersen er journalist på FinansFokus og dækker markeder, investering og erhvervsliv.
