Hacker brød ind i CPR-register med koden 123456 og fik 8,8 mio. numre
En anonym hacker hævder at have skaffet næsten 8,8 millioner danske CPR-numre via et lækket, simpelt password. Ministeren erkender utilstrækkelig sikkerhed.
Lækket adgangskode gav adgang til næsten hele Danmarks CPR-register
En anonym hacker hævder over for Politiken at stå bag bruddet på det danske CPR-register den 11. september i år — og at adgangen blev opnået via passwordet 123456.
Ifølge B.T. har det indtil nu ikke været offentligt kendt, hvem der trængte ind i registret og dermed fik adgang til oplysninger om knap 8,8 millioner danskere.
Hackeren forklarer, at adgangskoden stammede fra en tidligere medarbejder hos en mindre dansk virksomhed med lovlig adgang til CPR-registret. Med den lækkede kode konstruerede vedkommende to computerprogrammer, som fandt og gemte CPR-oplysningerne eksternt.
"Virkelig chokeret" over sikkerheden
Hackeren beskriver sig selv som "virkelig chokeret" over den mangelfulde sikkerhed og bruger følgende sammenligning over for Politiken:
> Nogen efterlader en kuffert med 10 kilo plutonium uden opsyn på en banegård. Så stjæler en hjemløs den. Ja, selvfølgelig skal man ikke stjæle andres kufferter. Men man skal heller ikke efterlade nukleart materiale på en banegård.
Hackeren oplyser, at vedkommende ikke har planer om at sælge eller lække CPR-numrene. Interviewet foregik på engelsk via en krypteret tjeneste.
Ekspert finder forklaringen troværdig
Hackeren har delt en fil med de mange CPR-numre med Politiken, som har videregivet den til it-sikkerhedsekspert Emil Hørning fra Defend Denmark. Hørning vurderer det som sandsynligt, at hackeren taler sandt, og at den beskrevne metode er blevet anvendt.
Minister erkender svigt
Forsknings-, uddannelses- og digitaliseringsminister Christina Egelund (M) erkender i et skriftligt svar, at sikkerheden omkring CPR-systemet ikke har været tilstrækkelig. Hun oplyser, at der nu er sat en stopper for tilsvarende uautoriseret adgang, og at hun har bestilt en bredere sikkerhedsgennemgang af systemet.
Private virksomheder og foreninger kan i dag få adgang til CPR-registret, eksempelvis til brug for adresseoplysninger på kunder eller medlemmer.
Source: B.T.