8,8 miljoner danska personnummer läckta till obehöriga

8,8 miljoner levande och avlidna personers namn, adresser och personnummer läcktes under förra helgen uppger det danska Forsknings Uddannelses og Digitaliseringsministeriet. Nu pågår en debatt om huruvida systemet med CPR-nummer, Danmarks motsvarighet till personnummer, bör skrotas.

Den obehöriga åtkomsten varade i tio dagars tid och möjliggjordes genom ett missbruk av ett danskt företags lagliga åtkomst till att söka uppgifter i systemet. Vilket företag det rör sig om har ännu inte offentliggjorts. Digitaliseringsminister, Christina Egelund (Moderaterne), skriver i ett pressmeddelande under måndagen:

–  Det är en djupt allvarlig händelse, som jag därför också har informerat Folketingets utskott för näringsliv och digitalisering om. Tillsammans med alla berörda myndigheter håller vi på att kartlägga händelsens fullständiga omfattning.

Ministern uppmanar medborgare att vara extra vaksamma kring sin digitala säkerhet i samband med läckan och tipsar om ministeriets hjälpsida för digital säkerhet. Hon säger även att man redan har vidtagit åtgärder för att förhindra liknande händelser i framtiden.

Återkommande kritik

I samband med läckan har kritiken mot CPR–systemet och dess sårbarhet åter lyfts. Röster om förnyelse eller att helt enkelt byta ut systemet återkommer, rapporterar Danmarks Radio. Jan Kastrup, digital utredare på cybersäkerhetsföretaget CSIS, pekar exempelvis på att det inte går att få ett nytt vid en läcka:

– Det finns flera saker med det som verkligen skriker efter att bytas ut. För mig finns det kanske lite drygt 200 olika möjliga CPR-nummer. Det är inte mer konfidentiellt än så, säger han till DR Nyheder.

Rådet for Digital Sikkerhed stämmer in på kritiken. För 13 år sedan vid en annan läcka av de danska personnumren, diskuterades cybersäkerheten och redan då ansåg rådet att annan legitimation bör användas.

Christina Egelund vill inte lova att CPR-systemet ska skrotas, däremot säger hon till DR Nyheder:

– En allvarlig händelse bör ge anledning att ställa sig själv några av de svåra frågorna. Borde vi egentligen utforma det på ett helt annat sätt? Därför har jag bett om att få en genomgripande säkerhetsbedömning av om det sätt som vårt CPR-register fungerar på är ett ändamålsenligt sätt att utforma det på.
(News Øresund)