Dette ved vi om Danmarks største CPR-læk — og dette ved vi ikke

En mindre dansk softwarevirksomhed på Fyn, der ifølge DR markedsfører sig på "topsikret databeskyttelse", er centrum for det, DR kalder Danmarkshistoriens største læk af danskernes CPR-numre og adresser. Det er DR Nyheder, der har afdækket sagen.

Virksomheden havde lovlig adgang til CPR-registret. Den adgang er blevet kompromitteret, og DR's research viser, at en af de adgangskoder, virksomheden har brugt, var så simpel som "123456" — og at koden havde ligget tilgængelig i et tidligere datalæk.

8,8 millioner CPR-numre trukket ud

Politiken skriver, at mediet har set dokumentation for, at næsten 8,8 millioner CPR-numre er trukket ud af systemet. Oplysningerne skal ifølge Politiken stemme overens med, hvad en anonym, påstået hacker har fortalt avisens journalister om, hvordan angrebet er udført. Hackeren har kommunikeret med Politikens journalister på engelsk, men DR har ikke kendskab til hverken hackerens identitet, nationalitet eller eventuelle tilhørsforhold.

DR har desuden fundet en login-side, som kan have været udgangspunktet for hackerens indgang til virksomhedens CPR-adgang, samt et datalæk fra 2025, hvor en mulig medarbejders mailadresse og en delvist skjult adgangskode fremgår. Det peger ifølge DR på, at virksomhedens systemer kan have været kompromitteret over en længere periode.

Opdaget via en usædvanlig høj faktura

Ifølge en aktindsigt i en anmeldelse fra CPR-kontoret til Datatilsynet den 3. oktober, som DR har fået, fandt datatyveriet sted i perioden fra 10. til 20. september. Det var en medarbejder hos CPR-kontoret, der bemærkede en usædvanlig høj faktura til den fynske virksomhed og slog alarm. Virksomhedens adgang til CPR-registret blev blokeret dagen efter anmeldelsen, altså 2. oktober.

I anmeldelsen fremgår det, at CPR-administrationen har indført et fast faktureringscheck, der skal kontrollere unormale forbrugsmønstre hos CPR's kunder for at opdage lignende kompromitteringer fremover. Yderligere initiativer overvejes ifølge anmeldelsen som følge af sagen.

Ingen sigtet endnu — virksomheden har ikke svaret

Det er National Enhed for Særlig Kriminalitet (NSK), der efterforsker sagen. NSK har ifølge DR ingen kommentar til historien, og der er på nuværende tidspunkt ingen sigtede.

DR har siden torsdag formiddag forsøgt at få den fynske virksomhed i tale telefonisk uden held, og mediet arbejder fortsat på at få en kommentar. Af den grund navngiver DR på nuværende tidspunkt ikke virksomheden, som ifølge DR deler adresse og ejerkreds med en større virksomhed. I sidste ende er det myndighederne, der har ansvaret for, at virksomheder med adgang til CPR-registret lever op til et tilstrækkeligt sikkerhedsniveau.