Professor om CPR-læk: “Det største brud nogensinde mod det danske CPR-register”

8,8 millioner danskeres navne, adresser og CPR-numre er blevet kompromitteret i det, en cybersikkerhedsprofessor fra Aarhus Universitet kalder det største brud nogensinde mod det danske CPR-register.

"Det største brud nogensinde mod det danske CPR-register. Der er ingen tvivl om," siger professor Jens Myrup Pedersen til DR.

Lovlig adgang blev misbrugt

Bruddet skete ikke ved et direkte hackerangreb på selve CPR-registeret, men gennem en virksomhed, der havde legitim adgang til systemet. CPR-administrationen blev opmærksom på uregelmæssig adfærd i systemet i september, og om aftenen fredag den 2. oktober gik det op for myndighederne, hvor alvorligt problemet var. Over weekenden den 2.-3. oktober stod det fulde omfang klart. Ifølge digitaliseringsminister Christina Egelund (M) stod den uautoriserede adgang på i omkring 10 dage.

CPR-systemet rummer oplysninger om cirka 11 millioner registrerede personer – levende, udrejste og døde. Af dem er 8,8 millioner personers navne, adresser og CPR-numre altså lækket. Personer med navne- og adressebeskyttelse er ikke omfattet af bruddet.

"Det gør det omfattende"

Jens Myrup Pedersen peger på, at det netop er kombinationen af data, der gør sagen alvorlig: "Det gør det omfattende, at det både er CPR-numre og adresseoplysninger," siger han og tilføjer: "Det er et problem, at vi er for dårlige til at passe på borgernes data."

Ifølge professoren kan de lækkede oplysninger bruges målrettet af kriminelle. "Det er rigtig effektivt både til phishing og identitetstyveri," siger han. Med navn, adresse og CPR-nummer i hånden kan kriminelle udgive sig for at være den, der er ramt af lækket, eller ramme personen med skræddersyede phishing-angreb. Oplysningerne risikerer desuden at blive videresolgt.

Politiet efterforsker

National enhed for Særlig Kriminalitet (NSK) har indledt det, der beskrives som en "højt prioriteret efterforskning". Fungerende vicepolitiinspektør Nicklas Fallesen fra NSK oplyser, at omfanget af sagen er stort, og at politiet nu kortlægger, hvordan og hvor længe den uautoriserede adgang har fundet sted.

Jens Myrup Pedersen håber, at sagen fører til en gennemgang af sikkerhedsmekanismerne omkring CPR-registeret og skærpede krav til de virksomheder, der har adgang til det. Digitaliseringsminister Christina Egelund har varslet, at der nu skal strammes op om, hvem der kan få adgang til CPR-data, og hvordan den adgang overvåges.