Datatilsynet har åbnet en sag om et meget stort antal automatiserede opslag i CPR-systemet, som ifølge den officielle anmeldelse havde til formål at identificere gyldige CPR-numre. Myndigheden modtog anmeldelsen fra CPR-registeret søndag den 4. oktober og oplyser, at den nu undersøger, hvad der konkret er sket, hvordan opslagene kunne foretages, og hvem der har ansvaret for behandlingen af personoplysninger.

Det vigtigste lige nu er at skelne mellem det, der er bekræftet, og det, der endnu ikke er dokumenteret. Datatilsynet siger ikke, at alle danskere har fået deres identitet stjålet, at MitID er kompromitteret, eller at bankkonti er blevet tilgået. Det bekræftede er, at der er foretaget et meget stort antal automatiserede opslag med henblik på at finde gyldige CPR-numre. Sagen er fortsat under behandling.

Hvad har Datatilsynet officielt sagt?

Datatilsynet oplyser, at anmeldelsen kom fra CPR-registeret den 4. oktober. Myndigheden beskriver hændelsen som automatiserede opslag mod CPR-systemet. Formålet skulle ifølge anmeldelsen have været at identificere gyldige personnumre.

Det er en vigtig formulering. Der er forskel på at kunne teste, om et CPR-nummer er gyldigt, og at få adgang til en komplet personprofil med adresse, økonomi, helbredsoplysninger eller MitID-legitimationsdata. Den præcise datamængde og eksponering er netop noget af det, som undersøgelsen skal klarlægge.

Er der tale om et databrud?

Datatilsynet behandler sagen som en anmeldt sikkerhedshændelse og har endnu ikke offentliggjort en endelig juridisk vurdering. Derfor er det for tidligt at konkludere præcist, hvilken type brud der er sket, hvem der er ansvarlig, eller hvilke konkrete konsekvenser hændelsen får.

Det er også værd at huske, at store automatiserede opslag kan være problematiske, selv hvis systemet ikke har givet adgang til alle oplysninger om de personer, der søges på. Selve muligheden for systematisk at validere identifikatorer kan gøre andre former for svindel lettere, hvis data senere kombineres med oplysninger fra andre kilder.

Hvor følsomt er et CPR-nummer?

Et CPR-nummer er en central identifikator i Danmark. Det bruges på tværs af offentlige systemer, sundhedsvæsen, banker, forsikringer og andre tjenester. Derfor bør man ikke behandle det som et almindeligt medlemsnummer eller kundenummer.

Samtidig er et CPR-nummer i sig selv normalt ikke nok til at logge ind med MitID eller flytte penge fra en konto. Moderne identitetssystemer bygger på flere lag af autentificering. Risikoen opstår især, hvis et CPR-nummer kan kombineres med navn, adresse, telefonnummer, adgangskoder eller social manipulation.

Betyder sagen, at MitID er kompromitteret?

Der er på nuværende tidspunkt ingen officiel oplysning fra Datatilsynet om, at MitID-platformen er kompromitteret som følge af CPR-opslagene. Det er derfor forkert at behandle hændelsen som bevis for et landsdækkende MitID-brud.

Det betyder ikke, at borgere skal ignorere mistænkelige henvendelser. Svindlere bruger ofte personoplysninger til at gøre phishing mere troværdig. En besked, der indeholder dit navn eller dele af andre korrekte oplysninger, er stadig ikke dokumentation for, at afsenderen er en myndighed, bank eller MitID-support.

Hvad bør man være ekstra opmærksom på?

De klassiske advarselstegn er fortsat de vigtigste. Vær skeptisk over for opkald, SMS'er eller e-mails, der presser dig til at handle hurtigt, installere software, oplyse MitID-koder, godkende en anmodning eller flytte penge til en såkaldt sikker konto.

En legitim myndighed eller bank vil ikke bede dig om at udlevere engangskoder eller godkende en MitID-anmodning, du ikke selv har startet. Hvis en henvendelse virker troværdig, skal du stadig afslutte samtalen og selv kontakte organisationen via dens officielle hjemmeside eller telefonnummer.

Skal man ændre MitID med det samme?

Der er ikke offentliggjort en generel anbefaling om, at alle borgere skal nulstille MitID på grund af denne hændelse. Det vil derfor være overdrevet at anbefale en landsdækkende nulstilling uden dokumentation.

Hvis du derimod ser en MitID-godkendelse, du ikke selv har startet, får besked om ændringer på din konto eller opdager anden konkret mistænkelig aktivitet, skal du reagere hurtigt. Brug MitID's officielle supportkanaler og kontakt din bank, hvis økonomiske oplysninger kan være berørt.

Kan et CPR-nummer ændres?

Et CPR-nummer er ikke som en adgangskode, der normalt udskiftes efter et læk. Ændring sker kun i særlige situationer og efter myndighedsregler. Derfor er den praktiske beskyttelse mod identitetsmisbrug i højere grad baseret på stærk autentificering, overvågning og hurtig reaktion på mistænkelige hændelser.

Det er endnu en grund til, at myndighedernes undersøgelse er vigtig: Hvis en central identifikator kan valideres automatisk i stor skala, skal det vurderes, hvilke tekniske begrænsninger, logningsmekanismer og hastighedskontroller der burde have forhindret misbrug.

Hvad undersøger Datatilsynet nu?

Myndigheden nævner tre centrale spørgsmål: hvad der konkret er sket, hvordan det har kunnet ske, og hvem der har ansvaret for behandlingen af personoplysninger. De spørgsmål dækker både teknik, organisation og jura.

Teknisk vil det blandt andet være relevant at forstå, hvordan de automatiserede forespørgsler blev sendt, om der var begrænsninger på antal opslag, og hvilke data systemet returnerede. Organisatorisk handler det om adgangsmodeller og kontrol. Juridisk handler det om behandlingsgrundlag, sikkerhed og eventuel underretning af berørte borgere.

Hvorfor er automatiserede opslag et særligt problem?

Et enkelt manuelt opslag og millioner af maskinelle forespørgsler er ikke det samme risikobillede. Automatisering gør det muligt at teste enorme mængder kombinationer på kort tid. Derfor bruger moderne systemer ofte rate limits, overvågning af usædvanlig trafik og andre mekanismer til at stoppe masseforespørgsler.

Hvis et system tillader systematisk validering uden tilstrækkelig beskyttelse, kan angribere opbygge datasæt, der senere kombineres med lækkede oplysninger fra andre tjenester. Det er netop derfor, dataminimering og misbrugsbeskyttelse er vigtige principper i identitetssystemer.

Hvad kan virksomheder og myndigheder lære af sagen?

Det første er, at adgangskontrol ikke kun handler om login. En bruger kan have legitim adgang til en funktion, men stadig misbruge den gennem automatisering. Derfor skal systemet også analysere volumen, mønstre og formål.

Det andet er, at logs er afgørende. Når en hændelse opdages, skal organisationen kunne rekonstruere, hvilke forespørgsler der er foretaget, hvornår de fandt sted, hvilke data der blev returneret, og hvilken konto eller teknisk kanal der stod bag.

En praktisk tjekliste for borgere

  • Godkend aldrig en MitID-anmodning, du ikke selv har startet.
  • Udlever ikke engangskoder, adgangskoder eller kortoplysninger til en person, der ringer.
  • Brug officielle hjemmesider og telefonnumre, når du kontakter bank eller myndighed.
  • Hold øje med Digital Post og beskeder fra relevante myndigheder.
  • Reager på ukendte kontoændringer, nye kreditforhold eller mistænkelige bankbevægelser.
  • Undgå at dele CPR-nummer, medmindre modtageren har et legitimt behov.

Hvad ved vi endnu ikke?

Vi ved endnu ikke fra den officielle undersøgelse præcis, hvor mange unikke personer der er berørt, hvilke ekstra data der eventuelt blev tilgået, hvem der stod bag, eller om oplysningerne er blevet brugt til konkret svindel. Medieoplysninger kan ændre sig, efterhånden som efterforskningen skrider frem.

Det er derfor bedre at følge Datatilsynets og CPR-registerets opdateringer end at reagere på virale opslag, som allerede konkluderer, at hele Danmarks digitale identitet er kompromitteret. Den slags formuleringer går længere end de offentliggjorte fakta.

Kilder

Datatilsynets officielle meddelelse fra 5. oktober beskriver sagen og undersøgelsens status: Datatilsynet er opmærksom på sag om opslag i CPR. Myndigheden understreger, at sagen netop er modtaget, og at den endnu ikke kan vurdere de konkrete forhold.

Flere danske guider om teknologi og digital sikkerhed findes i Teknologi.