Misbrug af lovlig adgang til CPR-registeret viser, at leverandørstyring og overvågning af opslag kan være lige så kritisk som klassisk it-sikkerhed.
Danske myndigheder undersøger en omfattende sikkerhedshændelse, hvor uvedkommende har fået adgang til CPR-relaterede persondata for omkring 8,8 mio. registrerede personer.
Ifølge myndighederne skete adgangen ved misbrug af en dansk virksomheds lovlige mulighed for at søge i CPR-registeret, og adgangen er nu lukket.
For virksomheder er det en påmindelse om, at “legitim adgang” kan være det svageste led i kritiske datakæder, og at konsekvenserne hurtigt breder sig til banker, forsikring og alle, der laver kundekendskab.
Det oplyser The Copenhagen Post.
Misbruget rammer via autoriseret søgeadgang
Myndighederne beskriver sagen som et alvorligt sikkerhedsbrud, hvor uvedkommende har udnyttet en virksomheds adgang til at foretage opslag.
Det adskiller sig fra klassiske hackerangreb på it-systemer: Kontrollen handler ikke kun om firewall og patching, men om hvem der må slå op, hvor meget der må slås op, og hvordan unormal adfærd opdages.
CPR-systemet rummer ifølge ministeriet registreringer for omkring 11 mio. personer, herunder afdøde og udrejste, og cirka 8,8 mio. er berørt.
Oplysninger kan omfatte navn, adresse og CPR-nummer samt fx civilstand og familierelationer, mens navne- og adressebeskyttede ifølge den foreløbige gennemgang ikke har fået eksponeret navn og adresse.
Derfor kan sagen blive en erhvervsrisiko
CPR-nummeret er en nøgle, der bruges bredt til identifikation.
Når data først er ude, bliver den direkte økonomiske skade ofte sekundær til følgeangreb: mere overbevisende phishing, falske låneansøgninger og social engineering mod HR- og økonomifunktioner.
For virksomheder betyder det typisk højere omkostninger til kundesupport, verifikation og svindelovervågning.
Det bliver også en governance-test: Kan man dokumentere dataminimering, logning og leverandørstyring, når et led i kæden har adgang til centrale registre?
Og har man processer for hurtig kundekommunikation, hvis svindelforsøg eskalerer.
Det næste at holde øje med
To ting bliver afgørende: Om efterforskningen kan fastslå, hvilke datatyper der konkret er tilgået, og om data er kopieret ud i stor skala.
Og hvilke nye kontrolmekanismer der indføres omkring tredjepartsadgang, fx rate limiting, stærkere autentifikation og automatiske alarmer på afvigende mønstre.
Politisk er der en forventelig efterregning i form af sikkerhedsreview og strammere krav til virksomheder, der integrerer mod CPR.
For erhvervslivet kan det ende med både flere compliance-omkostninger og et højere minimumsniveau for identitetskontrol over for kunder og medarbejdere.
Christian Pedersen er journalist på FinansFokus og dækker markeder, investering og erhvervsliv.
