8,8 mio. CPR-oplysninger ramt: det ved vi om hændelsen

CPR-administrationen har konstateret en alvorlig sikkerhedshændelse, hvor uvedkommende har fået uautoriseret adgang til blandt andet navne, adresser og CPR-numre på cirka 8,8 millioner registrerede personer. Tallet omfatter ikke kun nulevende borgere i Danmark, men også udrejste og afdøde, fordi CPR-systemet samlet indeholder omkring 11 millioner registreringer.

Ministeriet oplyser, at adgangen skete ved misbrug af en privat dansk virksomheds lovlige mulighed for at søge oplysninger i CPR-systemet. Virksomhedens adgang er stoppet, hændelsen er anmeldt til Datatilsynet, og politiet efterforsker sagen sammen med relevante myndigheder.

Hvad er der konkret sket?

CPR-administrationen blev fredag 2. oktober opmærksom på uregelmæssig adfærd i systemet. I løbet af weekenden blev det klarlagt, at uvedkommende havde brugt en privat virksomheds adgang til opslag i CPR.

De oplysninger, myndighederne har nævnt, omfatter navn, adresse og CPR-nummer samt andre grundoplysninger inden for den adgang, som private virksomheder kan have. Det er vigtigt at holde sig til den officielle beskrivelse, fordi undersøgelsen stadig pågår, og det fulde hændelsesforløb endnu ikke er offentliggjort.

Hvorfor er 8,8 millioner større end Danmarks befolkning?

CPR-registret indeholder langt flere personer end de cirka seks millioner, der bor i Danmark i dag. Det skyldes blandt andet, at personer som er døde eller flyttet ud af landet fortsat findes i registret. Ministeriet oplyser, at CPR-systemet i alt rummer omkring 11 millioner registrerede personer.

Derfor skal tallet 8,8 millioner læses som antallet af registreringer, der kan være berørt, ikke som 8,8 millioner nuværende danske indbyggere.

Hvilke oplysninger er berørt?

Den første officielle meddelelse nævner navn, adresse og CPR-nummer. Ministeriet oplyser samtidig, at navn og adresse på personer med navne- og adressebeskyttelse ikke indgår på samme måde i den gennemgang, der er foretaget.

Der er ikke i den første meddelelse oplyst, at hændelsen omfatter alle typer personoplysninger i andre offentlige systemer. CPR-registrets grundoplysninger skal derfor ikke forveksles med for eksempel sundhedsjournaler eller bankdata.

Hvor længe stod den uautoriserede adgang på?

Ministeriet har oplyst, at den uregelmæssige aktivitet fandt sted i september, og efterfølgende Ritzau-oplysninger beskriver et forløb på omkring ti dage. Myndighederne arbejder fortsat med at kortlægge hændelsen.

Tidslinjen er vigtig, fordi den hjælper med at afgøre, hvor mange opslag der kan være foretaget, hvilke konti der blev brugt, og hvilke sikkerhedsforanstaltninger der skal ændres.

Hvad har myndighederne gjort?

CPR-administrationen har stoppet den berørte virksomheds adgang og sat en række initiativer i gang for at forhindre lignende hændelser. Sagen er anmeldt til Datatilsynet, og politiet efterforsker den i samarbejde med relevante myndigheder.

Forsknings-, Uddannelses- og Digitaliseringsministeriet har desuden oplyst, at der skal gennemføres en grundig sikkerhedsgennemgang af CPR-systemet. Det er centralt, fordi hændelsen ikke kun handler om én kompromitteret adgang, men også om hvor effektivt usædvanlig brug opdages og begrænses.

Hvad betyder det for almindelige borgere?

Myndighederne opfordrer borgere til at være ekstra opmærksomme i den kommende tid. Personoplysninger kan gøre falske henvendelser mere overbevisende, fordi en afsender kan kende detaljer, som normalt får en besked til at virke troværdig.

Den officielle anbefaling er at orientere sig via Sikkerdigital og bruge kendte kontaktveje til banker, myndigheder og virksomheder, hvis en uventet henvendelse skaber tvivl. Kendskab til personlige oplysninger er ikke i sig selv bevis på, at en afsender er legitim.

Er MitID en del af det offentliggjorte brud?

Den første officielle beskrivelse handler om opslag i CPR og nævner ikke, at MitID-legitimationsoplysninger er hentet gennem hændelsen. Det er derfor vigtigt ikke at blande forskellige systemer sammen.

Alligevel er hændelsen relevant for digital sikkerhed generelt, fordi persondata kan bruges i troværdige svindelforsøg. Borgere bør derfor være særligt opmærksomme på uventede anmodninger om at godkende handlinger eller dele yderligere oplysninger.

Hvad kan virksomheder lære af hændelsen?

Hændelsen viser en klassisk udfordring ved store registre: En central platform kan have mange sikkerhedslag, men en legitim tredjepartsadgang kan stadig blive et svagt punkt. Derfor er sikkerheden omkring hver enkelt adgang lige så vigtig som sikkerheden omkring selve registret.

Virksomheder med adgang til følsomme registre bør have klare begrænsninger for brug, løbende overvågning af usædvanlige opslag og hurtige procedurer til at stoppe adgang, hvis et mønster afviger fra det normale.

Hvorfor er overvågning af opslag vigtig?

Når et system bruges legitimt i stor skala, kan det være svært at skelne normale opslag fra misbrug. Derfor er mønstre afgørende: usædvanlig volumen, ændrede tidspunkter eller atypiske søgninger kan være tegn på, at en konto bruges anderledes end forventet.

En sikkerhedsrevision vil typisk se på både tekniske kontroller og organisatoriske procedurer. Spørgsmålet er ikke kun, hvordan adgangen blev misbrugt, men også hvor hurtigt den burde være blevet opdaget.

Hvad er risikoen for falske beskeder?

Store databrud bliver ofte fulgt af en bølge af beskeder, der udnytter selve nyheden. En modtager kan eksempelvis få en besked, der påstår at ville “hjælpe” efter hændelsen. Derfor er det vigtigt at gå direkte til officielle hjemmesider frem for at følge uventede links.

Myndighedernes egen information bør være første stop. Hvis en bank eller myndighed angiveligt kontakter dig, kan du kontrollere henvendelsen via den organisationens almindelige officielle kontaktkanal.

Hvilken hjælp er tilgængelig?

Ministeriet henviser til Sikkerdigital og Cyberhotline for digital sikkerhed på +45 33 37 00 37. I forbindelse med hændelsen har hotline udvidet åbningstid fra kl. 8 til 24 i de kommende dage.

Det er relevant både for borgere, der er usikre på en konkret henvendelse, og for personer der vil forstå den officielle vejledning uden at være afhængige af oplysninger fra sociale medier.

Det vigtigste at gøre nu

Følg opdateringer fra CPR-administrationen, ministeriet og Sikkerdigital.
Vær ekstra opmærksom på uventede beskeder og opkald.
Brug organisationers officielle hjemmesider og kendte kontaktkanaler.
Reager på ændringer eller aktiviteter på vigtige konti, som du ikke genkender.
Undgå at dele yderligere personlige oplysninger som svar på uventede henvendelser.
Kontakt Cyberhotline, hvis du er i tvivl om en konkret digital sikkerhedssituation.

Hvad ved vi endnu ikke?

Der er endnu ikke offentliggjort et fuldt teknisk hændelsesforløb eller en endelig vurdering af, hvordan de tilgåede oplysninger eventuelt er blevet brugt bagefter. Ministeriets første meddelelse identificerer heller ikke offentligt, hvem der står bag.

Det betyder, at nye detaljer kan ændre risikovurderingen. Opdateringer bør derfor baseres på efterforskningen og officielle myndighedsmeddelelser, ikke på spekulationer.