Tavshed fra amerikansk it-gigant efter historisk cpr-læk

Virksomheden DXC Technology, der er ansvarlig for at beskytte cpr-registret, får hård kritik fra flere eksperter, efter at 8,8 millioner danskeres cpr-numre i sidste uge blev afsløret lækket. Eksperterne undrer sig over, hvordan lækket kunne ske, uden at nogen alarmklokker begyndte at ringe hos DXC Technology – og over, at virksomheden ikke selv opdagede det enorme læk. Det vækker ekstra bekymring, fordi DXC Technology også står for it-sikkerheden hos Skat og hos politiet.

DXC Technology er en amerikansk multinational it-gigant, der er hyret af staten til at drive cpr-registret. Virksomheden betjener kunder i mere end 70 lande og har over 100.000 medarbejdere.

TV 2 har siden 6. oktober forsøgt at få virksomhedens ledelse i tale ved at sende flere mails, men der har været fuldstændig tavshed. Steffen Lerche, der er chef for DXC Technology i Danmark, videresendte én af mailene til kommunikationsafdelingen og bad dem håndtere forespørgslen – det er ikke sket. Tirsdag ringede TV 2 til Steffen Lerche, der svarede kort: "Jeg er på vej i møde," hvorefter han lagde røret på. En efterfølgende sms er heller ikke blevet besvaret.

Jan Kaastrup, it-sikkerhedsekspert og digital efterforsker, og Jens Myrup Pedersen, professor i cybersikkerhed ved Aarhus Universitet, undrer sig begge over, hvorfor DXC Technology ikke opdagede bruddet. "Hvordan kunne det her ske? Hvordan kan det være, at man ikke har haft de elementære sikkerhedsforanstaltninger på plads?" spørger Jens Myrup Pedersen.

Hackerne fik adgang til cpr-numrene via det lille fynske firma Pays, der har mulighed for at slå direkte op i cpr-registret. Det var først, da Pays fik en millionfaktura fra cpr-kontoret for de mange opslag, at hullet blev afsløret. "Det virker jo helt vanvittigt, at en virksomhed som Pays ikke har haft nogen som helst form for begrænsning i, hvad de kunne hente ud af systemet," siger Jan Kaastrup, der mener, det nu er "helt oplagt", at alle systemer, DXC Technology har ansvar for, bliver gennemgået. Jens Myrup Pedersen er inde på samme tanke: "Jeg håber da, at sikkerheden er bedre i de andre systemer end det, man har set her."

Bruddet på cpr-systemet skete 10. september, og hackerens adgang stoppede tilsyneladende 20. september – samlet set 21 dage og 17 timer – men blev først opdaget om eftermiddagen 2. oktober, altså 12 dage senere. Ministeriet for Forskning, Uddannelse og Digitalisering afslørede lækket offentligt 5. oktober og sendte 9. oktober et brev til 1.039 virksomheder med adgang til cpr-registret, hvor sikkerhedsreglerne bliver indskærpet.

Forsknings-, uddannelses- og digitaliseringsminister Christina Egelund (M) har ikke yderligere kommentarer til kritikken af DXC Technology. I et skriftligt svar tirsdag aften lød det: "Sagen efterforskes af de relevante myndigheder, og der er igangsat en grundig sikkerhedsgennemgang af hele cpr-systemet. Jeg har ikke yderligere kommentarer."

---

Kilde: TV 2 / nyheder.tv2.dk, journalisterne Jakob Hohlmann Villumsen, Mikkel Walentin Mortensen og Signe Marie Frost Namo.