CPR-data kan bruges til målrettet phishing

Navn, adresse og CPR-nummer på cirka 8,8 millioner registrerede borgere kan være endt i de forkerte hænder. Det bekræfter Forsknings-, Uddannelses- og Digitaliseringsministeriet, efter at uvedkommende har misbrugt en dansk virksomheds adgang til CPR-systemet. Ifølge cybersikkerhedseksperter kan det massive CPR-læk gøre phishing-angreb langt mere troværdige — og dermed langt farligere for almindelige borgere.

Vigtige fakta

• Uvedkommende har fået adgang til navne, adresser og CPR-numre på cirka 8,8 millioner registrerede personer — både nulevende, afdøde og udrejste.
• Lækagen skete via misbrug af en dansk virksomheds adgang til CPR-systemet. Virksomhedens adgang er nu stoppet.
• Sagen er anmeldt til Datatilsynet, og politiet efterforsker hændelsen. Personer med navne- og adressebeskyttelse er ikke omfattet.
• Eksperter advarer: Med CPR-data i hånden kan svindlere lave phishing-mails og SMS’er, der ligner officielle henvendelser fra myndigheder.
• Myndighedernes råd: Opret en kreditadvarsel, og vær ekstra kritisk over for henvendelser, der bruger dine personlige oplysninger.

Sådan skete lækagen

Ifølge ministeriet har uvedkommende misbrugt en dansk virksomheds legitime adgang til CPR-systemet og trukket følsomme oplysninger ud om cirka 8,8 millioner registrerede personer. Fordi CPR-registret også rummer afdøde og udrejste borgere, er antallet langt større end Danmarks nuværende befolkning.

Ministeriet oplyser, at virksomhedens adgang til systemet er stoppet, at sagen er anmeldt til Datatilsynet, og at politiet efterforsker hændelsen. Navne og adresser på personer med navne- og adressebeskyttelse er ikke omfattet af den uautoriserede adgang. Det fulde hændelsesforløb er fortsat ved at blive undersøgt. Læs mere om digital sikkerhed i Watan News’ teknologidækning.

Phishing bliver sværere at gennemskue

Jens Myrup Pedersen, professor i cybersikkerhed ved Aarhus Universitet, forklarer, at adgangen til CPR-data kan øge effektiviteten af phishing-forsøg markant. Når svindlere kan inkludere korrekte personlige oplysninger som CPR-nummer eller fødselsdato i falske e-mails eller SMS’er, skaber det en illusion af legitimitet, der gør det sværere for modtagerne at gennemskue bedraget.

Beskederne kan fås til at se ud, som om de kommer fra officielle myndigheder — for eksempel med besked om, at borgeren skal bekræfte sine oplysninger eller logge ind et bestemt sted. Jo flere korrekte data svindlerne har, desto mere overbevisende kan angrebene konstrueres. Det udgør en alvorlig trussel mod borgernes digitale sikkerhed.

Sådan beskytter du dig

Myndighedernes råd til borgerne handler blandt andet om at oprette en kreditadvarsel, så ingen kan optage lån eller købe på kredit i dit navn uden ekstra kontrol. Samtidig bør man være ekstra opmærksom på henvendelser — også pr. telefon — hvor afsenderen bruger personlige oplysninger til at virke troværdig.

Del aldrig CPR-nummer, NemID/MitID-oplysninger eller bankdetaljer, medmindre du selv har taget initiativ til kontakten og er helt sikker på modtagerens identitet. Hold dig opdateret om sikkerhedsanbefalingerne fra myndighederne, og se flere danske nyheder på Watan News’ Danmark-side.

Ofte stillede spørgsmål

Hvad er CPR-data, og hvorfor er det følsomt?

CPR-data omfatter personlige oplysninger som navn, adresse og CPR-nummer. Oplysningerne er følsomme, fordi de entydigt identificerer en person — og i kombination med andre data kan bruges til svindel og identitetsmisbrug.

Hvordan kan CPR-data bruges til phishing?

Ved at inkludere korrekte CPR-numre eller andre personlige detaljer i falske e-mails og SMS’er kan svindlere få deres beskeder til at ligne officielle henvendelser, hvilket øger sandsynligheden for, at modtageren falder for bedraget.

Kan nogen optage lån i mit navn med mit CPR-nummer alene?

Det er usandsynligt. Finansielle institutioner kræver normalt yderligere identifikation, før de godkender lån eller kreditaftaler. CPR-nummeret alene er derfor sjældent nok — men det kan indgå i andre former for identitetsmisbrug.

Hvad skal jeg gøre, hvis jeg er bekymret for mine CPR-data?

Opret en kreditadvarsel, vær ekstra opmærksom på mistænkelige e-mails, SMS’er og opkald, og del aldrig personlige oplysninger, medmindre du er helt sikker på modtagerens legitimitet.

Hvor mange borgere er berørt af lækagen?

Cirka 8,8 millioner registrerede personer — både nulevende, afdøde og udrejste — er omfattet af den uautoriserede adgang til navne, adresser og CPR-numre.