KØBENHAVN, DANMARK / RankWire.AI / – Danske myndigheter etterforsker uautorisert tilgang til personopplysninger i landets sentrale personregister, kjent som CPR. Hendelsen berørte registre knyttet til rundt 8,8 millioner mennesker. Informasjonen som ble åpnet inkluderte navn, adresser, CPR-identifikasjonsnumre og andre registrerte detaljer. Myndighetene sa at angriperne brukte legitimasjon knyttet til et privat dansk selskap med legitim tillatelse til å søke i det nasjonale befolkningssystemet. Myndighetene har ikke navngitt selskapet.
HLR-administrasjonen oppdaget uvanlig aktivitet kvelden 2. oktober etter en rekke søk i løpet av september. Myndighetene gjennomgikk aktiviteten i løpet av den påfølgende helgen og etablerte omfanget av tilgangen. Danmarks HLR-database inneholder omtrent 11 millioner poster totalt. Systemet dekker nåværende innbyggere, personer som har flyttet til utlandet og avdøde personer. Myndighetene sa at søkene holdt seg innenfor informasjonskategoriene som er tilgjengelige gjennom autoriserte HLR-tjenester.
Myndighetene har ikke identifisert de ansvarlige for de uautoriserte søkene. CPR-administrasjonen avsluttet selskapets tilgang etter å ha oppdaget den mistenkelige aktiviteten. Dansk politi og andre myndigheter etterforsker hvordan bruddet skjedde og hvilke registre som ble åpnet. Tjenestemenn undersøkte også informasjon som er beskyttet under Danmarks navne- og adressebeskyttelsesordning. De bekreftet at beskyttede navn og adresser under dette programmet ikke var en del av de eksponerte dataene.
Datatilsynet vurderer automatiserte HLR-forespørsler
Datatilsynet , Danmarks datatilsynsmyndighet, mottok hendelsesrapporten 4. oktober. Byrået opplyste at et betydelig antall automatiserte søk hadde rettet seg mot CPR-systemet. Ifølge rapporten hadde disse søkene som mål å bekrefte gyldigheten av CPR-numrene. Datatilsynet undersøker hvordan uautoriserte enheter fikk tilgang og hvilke personopplysninger de hentet inn. Gjennomgangen vurderer også ansvar knyttet til databehandling i henhold til danske personvernregler.
Forsknings-, utdannings- og digitaliseringsminister Christina Egelund beskrev sikkerhetsbruddet som svært alvorlig og orienterte Stortingets nærings- og digitalkomité. Hun beordret en omfattende sikkerhetsgjennomgang med fokus på CPR-systemet og tilgangskontrollene. Regjeringen har også iverksatt tiltak som tar sikte på å minimere risikoen for fremtidige hendelser. Myndighetene fortsetter å analysere hendelsesforløpet og granske sikkerhetsprotokoller som brukes av private organisasjoner som har fått autorisert tilgang til CPR-data.
Publikum oppfordres til å være årvåkne mot potensiell svindel
Danske myndigheter oppfordret innbyggere til å være forsiktige med falske anrop, e-poster og meldinger som kan inneholde eksponerte personopplysninger. De advarte mot å dele passord eller sensitiv informasjon, spesielt hvis den som ringer hevder å allerede vite navn, adresse eller CPR-nummer. Myndighetene henviste innbyggerne til offisielle råd om digital sikkerhet og Danmarks cyber-hotline. Myndighetene har ikke bekreftet om den tilgjengelige informasjonen har blitt utnyttet til svindel, identitetstyveri eller andre forbrytelser utover de uautoriserte søkene.
Etterforskerne fortsetter å undersøke hvordan sikkerhetsbruddet skjedde, hvilke registre som ble åpnet, og sikkerhetstiltakene som styrer privat bruk av CPR-systemet. Identiteten til det involverte selskapet eller den spesifikke metoden som ble brukt for å misbruke den autoriserte tilgangen, er fortsatt ikke offentliggjort. Myndighetene har ikke offentlig identifisert personene bak søkene. Per 7. oktober gjennomgikk CPR-administrasjonen, politiet og regulatorer hendelsen uavhengig mens Danmark vurderte sikkerheten rundt sitt nasjonale folkeregister.
Innlegget Danmark evaluerer tiltak etter at datainnbrudd avslører millioner av HLR-journaler dukket først opp på British Post .