Omkring ti dages automatiserede CPR-opslag gennem én privat virksomheds lovlige adgang. Kontrollerne stoppede det ikke i tide. Virksomheden har stadig intet offentligt navn.
CPR bekræfter, at uvedkommende fik navne, adresser, CPR-numre og andre oplysninger om ca. 8,8 millioner registrerede personer gennem én privat virksomheds lovlige adgang. Datatilsynets meddelelse bekræfter et meget stort antal automatiserede opslag til identifikation af gyldige CPR-numre. Ministeren siger, at sikkerheden omkring adgangen ikke var god nok. Ingen af de udtalelser bringer de kopierede data tilbage under kontrol eller identificerer den kontrol, der svigtede.
Mit CPR-nummer er en del af den samme nationale identitetsinfrastruktur. Jeg tjener til livet uden for IT, betaler selv mine værktøjer og laver undersøgelsen uafhængigt. Jeg har ikke et ministerium, et pressekontor eller et konsulentbudget bag mig. Jeg har deres dokumenter, deres tidsstempler, deres regler og den evidens, jeg kan bevare.
CPR bekræfter dataeksponeringen. Tilsynsmeddelelsen bekræfter massiv automatiseret enumeration. Ministeren bekræfter, at sikkerheden omkring adgangen ikke var god nok. Det manglende materiale er operationelt: produkt, credential-spor, request-kurve, baseline, første anomali, første alarm og den kontrol der skulle have stoppet det.
CPR oplyser, at uvedkommende fik adgang til navne, adresser, CPR-numre og andre oplysninger om ca. 8,8 millioner registrerede personer. Registret omfatter også afdøde og personer, der er flyttet til udlandet.
Ministeren oplyste til Ritzau, at misbruget stod på i omkring ti dage i september. CPR oplyser, at administrationen blev opmærksom på uregelmæssig adfærd om aftenen 2. oktober.
Adgangsvejen var en dansk privat virksomheds lovlige mulighed for at søge i CPR. Myndighederne har ikke offentliggjort virksomhedens navn eller hvilket CPR-produkt der blev brugt.
Datatilsynet oplyser, at anmeldelsen beskriver et meget stort antal automatiserede opslag mod CPR med henblik på at identificere gyldige CPR-numre.
Christina Egelund sagde, at sikkerhedsforanstaltningerne omkring denne type adgang ikke havde været solide nok, og at advarselslamper burde være tændt tidligere.
CPR offentliggjorde hændelsen 5. oktober. Datatilsynet oplyser, at anmeldelsen om bruddet blev modtaget søndag 4. oktober.
Uautoriseret automatiseret aktivitet foregår i omkring ti dage ifølge ministerens udtalelse til Ritzau.
En medarbejder i CPR-administrationen opdager uregelmæssig adfærd om aftenen.
I løbet af weekenden tegner der sig et klart billede af en sikkerhedshændelse.
Datatilsynet modtager anmeldelsen om bruddet fra CPR.
Hændelsen offentliggøres. Politiet efterforsker, og en sikkerhedsgennemgang er sat i gang.
CPR offentliggør, at private virksomheders adgang til CPR er genetableret.
CPRs egne vilkår beskriver logs, transaktionsstatistik, navngivet sikkerhedsansvar og tilbagevendende kontrol for private adgangsveje. Det er afgørende nu, fordi de beskriver registreringer, som burde kunne rekonstruere hændelsen. Produktet i databruddet er stadig ikke offentliggjort, så produktet skal navngives, før det præcise kontrolspor kan vurderes.
For privat adgang via Datafordeleren siger CPRs vilkår, at bruger eller certifikat, transaktionstype, dato og tidspunkt samt de data, forespørgslen vedrører, registreres. Udpegede sikkerhedsbrugere kan generere rapporter over udvalgte eller alle søgninger og se transaktionsstatistik.
Logpoint-udtræk med bruger eller certifikat, transaktionstype, dato og tidspunkt, de berørte data samt rapporter over udvalgte eller alle søgninger og transaktionsstatistik.
Hvis Datafordeleren var adgangsvejen, offentliggør Logpoint-sporet for hændelsesperioden, alarmhistorikken og dokumentationen for sikkerhedskontrollen.
For private system-to-system leverancer uden for Datafordeleren skal kunden udpege en sikkerhedsansvarlig, udarbejde månedlig transaktionsstatistik fordelt på transaktionstyper og lade den sikkerhedsansvarlige kontrollere statistikken. De samme vilkår siger, at system-to-system adgang ikke må bruges til online batches uden CPR-administrationens forudgående godkendelse.
September-statistik efter transaktionstype, den sikkerhedsansvarliges kontrol, kundens brugerhenføring og enhver CPR-godkendelse af online batchkørsel.
Hvis en anden system-to-system adgangsvej blev brugt, offentliggør den månedlige statistik og den brugerkortlægning kunden skulle føre.
Vilkårene for privat CPRWeb-adgang siger, at hver forespørgsel logges med bruger-id, dato og tidspunkt samt de data, forespørgslen vedrører. Den sikkerhedsansvarlige skal hver måned kontrollere den enkelte brugers transaktionsstatistik og kan anmode om detaljeret terminaltrafik for en afgrænset periode.
Bruger-id pr. forespørgsel, tidspunkt, søgningens genstand, månedlig statistik pr. bruger og detaljeret terminaltrafik for relevante brugere og periode.
Hvis CPRWeb var adgangsvejen, offentliggør forespørgselsrapporten til kontrol ved mistanke om misbrug og brugerstatistikken fra september.
CPRs ansøgningsside kræver ansøgerens CVR-nummer, den dataansvarlige, en navngiven sikkerhedsansvarlig med kontaktoplysninger, en faktureringskontakt og de ønskede CPR-produkter. Virksomheden er ikke navngivet offentligt, men adgangsmodellen bygger på en identificeret kunde og identificerede ansvarlige kontaktpersoner.
Kundens ansøgning, CVR, godkendt formål, ønsket produkt, navngiven sikkerhedsansvarlig og ansvarlige kontaktpersoner.
Offentligheden har stadig hverken virksomhedens navn, produktets navn eller den ansvarlige sikkerhedskontakt for adgangsvejen i centrum af hændelsen.
De offentliggjorte priser for private tæller CPRWeb-søgninger, CPR Direkte-opslag, CPR Services-transaktioner og brug af Datafordeleren. REST tæller også transaktioner, der returnerer nul personer. GraphQL afregnes efter returnerede personobjekter. Disse tællere bør sammenholdes med hændelsens telemetri.
Brugs- og faktureringsdata for søgninger, opslag, REST-transaktioner eller returnerede GraphQL-personobjekter, afhængigt af produkt.
Offentliggør kundens baseline, brugskurven for september og det tidspunkt hvor volumen afveg fra normal adfærd.
Hvis adgangsvejen var Datafordeleren, bør de relevante logs og transaktionsstatistikker offentliggøres. Hvis den var CPRWeb, bør forespørgselsloggen og statistikken pr. bruger offentliggøres. Hvis den var et andet system-to-system produkt, bør de månedlige statistikker, systembrugeren og kundens egen brugerhenføring offentliggøres. Produktets identitet afgør, hvilket kontrolspor der bør eksistere.
Produktidentitet, transaktionssemantik, grænser, godkendelser, IP- eller certifikathistorik og den konkrete kontrolvej der gjaldt under hændelsen.
Uden produktet er enhver konklusion om den svigtede kontrol ufuldstændig. Navngiv adgangsvejen, og vis derefter sporet.
Offentligheden mangler stadig det præcise antal requests, peak rate, normal baseline og det præcise CPR-produkt. Uden de tal kan offentligheden ikke efterprøve, hvornår aktiviteten forlod kundens normale adfærd, eller hvor lang tid det tog detektionskæden at reagere.
Afhængigt af produkt og forespørgsel kan ét request returnere nul, én eller flere personer. Mislykkede enumerationsforsøg vil øge det reelle requestantal. Virksomheden og produktet skal offentliggøres, før en præcis rate kan beregnes ud fra offentlige data.
CPR dokumenterer flere private adgangsveje. Nogle er manuelle, nogle er program-til-program, og nogle understøtter løbende eller store populationer. Produktet afgør, hvilke credentials, logs, godkendelser, tællere og kontrolpligter der gjaldt under hændelsen.
Webbaserede opslag for private virksomheder. CPR beskriver søgning med identitetsoplysninger og returnering af aktuelt navn, adresse og andre tilladte oplysninger.
Program-til-program kommunikation fra kundens system til CPR. Kunden sender en transaktion med identifikationsoplysninger og modtager relevante CPR-data retur.
Serviceintegration til kundesystemer med strukturerede forespørgsler mod CPR-services.
CPR-persondata udstilles gennem Datafordeler-tjenester. CPR angiver REST og GraphQL for private kunder. Priserne er knyttet til transaktioner eller returnerede personobjekter.
Status- og ændringsudtræk kan levere flade filer, herunder løbende opdateringer for afgrænsede persongrupper.
Navne, adresser, CPR-numre og andre oplysninger blev hentet af uvedkommende. Adgangen kan lukkes. Kopier, der allerede er hentet, kan ikke trækkes tilbage ved at deaktivere en konto. Risikoen fortsætter efter containment og kan vare længe efter hændelsen.
Ministeriet siger, at borgere aldrig bør udlevere passwords eller fortrolige oplysninger alene fordi et opkald, en mail eller en besked ser ud til at kende disse identitetsoplysninger. De samme data kan gøre phishing, identitetsmisbrug og social engineering mere troværdigt længe efter, at én adgangsvej er lukket.
CPR offentliggjorde en meddelelse om, at private virksomheders adgang til CPR var genetableret kl. 11:57. Det offentlige materiale gennemgået til denne optagelse identificerer ikke de konkrete ændringer i overvågning, begrænsning, automatisk spærring eller adgangskontrol, som var gennemført før genetableringen. Offentliggør ændringerne og tidspunkterne.
Senere den 5. oktober, efter orientering af folketingsudvalg, sagde Christina Egelund, at det var for tidligt at sige, om nogle borgere kunne få brug for nye CPR-numre efter bruddet. Der er ikke truffet nogen beslutning om udskiftning. At muligheden overhovedet vurderes, viser hvor alvorlig den fortsatte afhjælpning er.
Herning Kommune oplyser, at CPR-nummer indtil videre ikke må bruges som eneste grundlag for at identificere en borger, og kommunen har skærpet identitetskontrollen. Det er en konkret følge af bruddet, ikke en teoretisk risikomodel.
En adgangsvej kan deaktiveres på få minutter. En kopi af identitetsdata, der allerede er hentet, bliver ikke hemmelig igen ved at trykke på en knap. Følgerne kan være skærpet identitetskontrol, tid brugt på at bevise hvem man er, dokumentation af svindelforsøg, kontakt til banker eller myndigheder og år med ekstra opmærksomhed på troværdig identitetsmisbrug. Det offentlige materiale gennemgået her siger ikke, hvem der dækker tiden eller omkostningen, når byrden lander hos de mennesker, hvis data blev hentet.
De officielle sider giver et samlet tal og én beskyttelsesundtagelse. De giver stadig ikke den enkelte et hændelsesspecifikt svar: blev min registrering slået op, hvilke felter blev returneret, hvornår skete det, og gennem hvilket produkt?
Tallet 8,8 millioner omfatter levende, udrejste og afdøde personer. CPR oplyser, at navne og adresser for personer med navne- og adressebeskyttelse var undtaget fra den uautoriserede adgang.
For den enkelte står de grundlæggende spørgsmål åbne: blev min registrering slået op, hvilke felter blev returneret, hvornår skete det, via hvilket produkt og hvor mange gange?
Afhængigt af produktet beskriver CPRs egne vilkår forespørgselslogs, Logpoint-registreringer, månedlig transaktionsstatistik og brugerhenføring. Det ikke-offentliggjorte produkt afgør hvilket spor der kan koble hændelsen til konkrete personer og forespørgsler.
CPR drives gennem CPR-administrationen. Datatilsynet er den uafhængige tilsynsmyndighed. Meddelelsen fra 5. oktober siger, at sagen undersøges, og at ansvaret endnu ikke er fastlagt. Det er begyndelsen, ikke afslutningen på ansvarligheden. Det offentlige materiale gennemgået her siger stadig ikke, hvad tidligere tilsyn konkret testede omkring private virksomheders CPR-adgang, automatiserede opslag i stort omfang eller kontrollerne, der skulle opdage misbrug.
Datatilsynets egen beskrivelse siger, at myndigheden fører tilsyn med databeskyttelsesreglerne, behandler klager og gennemfører tilsyn hos myndigheder og virksomheder. Selve brudsporet ligger hos CPR og den private adgangsvej. Tilsynshistorikken er et særskilt ansvarsspor, som også bør offentliggøres.
Offentliggør hvilke tidligere tilsyn, audits eller kontrolhandlinger der dækkede private virksomheders CPR-adgang, automatiserede opslag i stort omfang, anomalidetektion, adgangsreview og de kontrolspor CPRs egne vilkår beskriver. Hvis de punkter ikke blev kontrolleret, så sig det direkte.
Datatilsynet siger, at det undersøger hvad der skete, hvordan det kunne ske, og hvem der har ansvaret. Resultatet bør identificere de ansvarlige roller, de svigtede kontroller, eventuelle påbud eller sanktioner og den afhjælpning der faktisk kan verificeres.
Datatilsynets egen vejledning kræver, at risikoen efter et databrud omfatter fremtidigt misbrug, når data er ude af den dataansvarliges kontrol. Tidligere afgørelser viser, at personnumre sammen med andre oplysninger kan skabe høj risiko. Den samme standard gælder her. Råd til borgere besvarer ikke underretning, kortlægning af berørte, afhjælpning eller ansvar.
CPR oplyser, at uregelmæssig adfærd blev opdaget 2. oktober. Datatilsynet oplyser, at anmeldelsen blev modtaget 4. oktober. De offentligt tilgængelige datoer understøtter ikke en påstand om, at 72-timersfristen for anmeldelse til tilsynsmyndigheden blev overskredet.
Når et brud sandsynligvis medfører høj risiko, kræver GDPR underretning af de berørte uden unødig forsinkelse, med de undtagelser der følger af artikel 34. I visse tilfælde kan en offentlig meddelelse erstatte individuel underretning, hvis individuel kontakt kræver en uforholdsmæssig indsats, men informationen skal være tilsvarende effektiv.
De officielle hændelsessider citeret her giver fortsat et samlet tal i stedet for en hændelsesspecifik kontrol for hver person. Det operationelle spørgsmål er, om hændelsesloggene kan koble en person til de konkrete forespørgsler og returnerede felter, og hvornår de berørte får det svar.
CPR oplyser, at den uautoriserede adgang ikke omfattede navne og adresser for personer med navne- og adressebeskyttelse. Meddelelsen siger ikke klart, om CPR-numrene for denne beskyttede gruppe blev tilgået. Det punkt bør besvares direkte.
Tilbagekaldelse af én virksomheds adgang stopper videre brug af den adgangsvej. Det henter ikke allerede hentede kopier tilbage og identificerer ikke alle efterfølgende kopier. Datatilsynets egen risikovurdering anerkender, at misbrug kan ske flere år efter, at data er kommet ud af den dataansvarliges kontrol.
CPRs adgangsmodel bygger på en identificeret kunde, CVR, ønsket produkt og navngivet sikkerhedsansvar. Virksomheden i centrum af hændelsen er stadig ikke navngivet offentligt, mens efterforskningen fortsætter. De mennesker, hvis data blev hentet, mangler dermed en helt grundlæggende oplysning om ansvar.
Dansk privat virksomhed. Lovlig søgeadgang til CPR. Adgangen blev misbrugt af uvedkommende. Virksomhedens adgang er stoppet.
Virksomhedens navn. CPR-produktet. Credentialtypen. Kompromitteringsmekanismen. Det præcise requestantal. Peak-rate. Normal baseline. Alarmgrænser. Første anomali-timestamp. Fuld kortlægning af berørte personer. Dataenes destination efter udtræk.
Folk kan få råd om at være opmærksomme på svindel, men det forklarer ikke, hvorfor adgangen kunne køre i dage, hvilket produkt der blev brugt, hvad overvågningen så, hvem der blev ramt, eller hvad der blev ændret før adgangen blev genetableret. Svarene bør ligge i logs, kontrakter, konfiguration, hændelsestickets og formelle risikovurderinger.
Den offentlige download er bevidst smal: den officielle hændelsesregistrering, kontrolmatricen, de skrevne fund og hashes. Jeg har fjernet operationelle hardening-matricer, fejlrute-inventar, preprod/password-workflowdetaljer og hele crawlindekset fra den offentlige pakke, fordi de ikke er dokumenteret som databruddets vej og tilføjer angrebsrelevante detaljer uden at styrke ansvarssagen.
Hændelsesfakta er forankret i CPR, ministeriet, Datatilsynet, ministerens offentligt refererede udtalelse, CPRs egne adgangsvilkår og dokumenterede operationelle reaktioner. Jeg bruger tilsynsmyndigheden som kilde, hvor den har evidens, og spørger separat hvilket tilsyn der fandtes før databruddet, og hvilke tiltag der følger nu.
Jeg bor i Danmark, og mit eget CPR-nummer ligger i det samme nationale identitetssystem. Jeg tjener til livet uden for IT, finansierer selv mine værktøjer og laver undersøgelsen uafhængigt. Intet ministerielt hold. Intet pressekontor. Intet konsulentbudget. En titel, et kontor eller et eksamenspapir gør ikke en svigtet kontrol til en fungerende kontrol. Vis registreringen.
Jeg stoppede ved offentligt, uautentificeret materiale. Jeg testede ikke live identitetsveje, indsendte ikke formularer, enumererede ikke CPR-numre, omgåede ikke adgangskontrol og rørte ikke private data. Operationelle sikkerhedsobservationer, som ikke dokumenterer databruddets vej, bliver ude af den offentlige download. En hård sag bliver stærkere, når irrelevant angrebsdetalje fjernes, ikke svagere.
Virksomheden. Produktet. Credential. Præcist request-antal. Peak rate. Normal baseline. Første anomali. Første alarm. Brugerattribution. Kortlægning af berørte. Kontrolændringer før 11:57. Tidligere tilsyn. Endeligt ansvar. Det er registreringer, ikke slogans.
DATAENE BLEV HENTET. OFFENTLIGHEDEN FORTJENER STADIG DEN FULDE TEKNISKE DOKUMENTATION.