8,8 millioner CPR-numre lækket: Det ved vi om det store hackerangreb

Stort set alle danskere kan være ramt. En uvedkommende har i omkring 10 dage i september misbrugt en lille dansk virksomheds lovlige adgang til CPR-registeret og stjålet navne, adresser og CPR-numre på 8,8 millioner registrerede borgere – levende, udrejste og døde. Det samlede CPR-system rummer data på omkring 11 millioner personer, og personer med navne- og adressebeskyttelse er ikke ramt.

Sådan gik det til

CPR-administrationen opdagede uregelmæssig systemadfærd fredag den 2. oktober om aftenen, og over weekenden stod det fulde omfang klart. Virksomhedens adgang til systemet er siden blevet lukket.

Ministeren erkender svigt

Digitaliseringsminister Christina Egelund (M) har orienteret Folketinget og siger: "Det er tydeligt for mig, at sikkerhedsforanstaltningerne omkring den her virksomheds adgang til CPR ikke har været gode nok." Folketingets partier reagerer også. Venstres Sophie Løhde kalder det "meget alvorligt i sig selv, at vi ikke er bedre til at passe på danskernes CPR-oplysninger."

En guldgrube for kriminelle

Cybersikkerhedsprofessor Jens Myrup Pedersen fra Aarhus Universitet beskriver de lækkede data som "en guldgrube at få fat i for kriminelle", fordi kombinationen af navn, adresse og CPR-nummer gør målrettet phishing og identitetstyveri langt lettere. National enhed for Særlig Kriminalitet (NSK) har indledt en højt prioriteret efterforskning. Vicepolitiinspektør Nicklas Fallesen oplyser: "Omfanget er ganske stort. Vi har iværksat efterforskningen og prioriterer den højt."

Skal CPR-nummeret afskaffes?

Sagen har sat gang i en debat om, hvorvidt CPR-nummeret overhovedet skal have den særstatus, det har i dag. Anne Dorte Bach fra Rådet for Digital Sikkerhed peger på, at danskerne nu har MitID som sikker login-løsning: "Nu har vi MitID, og derfor behøver CPR-nummeret ikke at have en særstatus i vores samfund." Niels Bertelsen, formand for fagforeningen Prosa, går videre: "Når man nu går i gang med at se på det, skal man overveje, om man skal afskaffe CPR-nummeret helt."

Hvad skal du gøre

Myndighederne advarer om, at man aldrig skal udlevere koder eller andre personlige oplysninger over telefonen eller i mails – heller ikke hvis afsenderen henviser til det aktuelle datalæk. En parlamentarisk briefing om sagen var planlagt kl. 16 samme dag, og en grundig sikkerhedsgennemgang af hele CPR-systemet er sat i gang.