It-kriminel hævder at stå bag CPR-angreb: Kom ind via simpelt password

Med passwordet 123456 lykkedes det angiveligt en hacker at skaffe knap 8,8 millioner danske CPR-numre.

Indtil videre har det ikke været offentligt kendt, hvem der trængte ind i det danske CPR-register og dermed fik adgang til næsten 8,8 millioner CPR-numre.

Men nu hævder en anonym hacker over for Politiken, at det var vedkommende, der gjorde det – og at det ikke var specielt vanskeligt.

Takket være et lækket password fra en tidligere medarbejder i en mindre dansk virksomhed, der har adgang til registret, tiltvang hackeren sig adgang 11. september i år.

Adgangskoden var ganske simpel, nemlig 123456. Herefter konstruerede hackeren to computerprogrammer, der fandt CPR-oplysninger frem og efterfølgende gemte dem eksternt.

Hackeren, der angiveligt ikke har planer om at sælge eller lække CPR-numrene, er med egne ord "virkelig chokeret" over den mangelfulde sikkerhed.

Han beskriver selv sagen på følgende måde:

- Nogen efterlader en kuffert med 10 kilo plutonium uden opsyn på en banegård. Så stjæler en hjemløs den.

- Ja, selvfølgelig skal man ikke stjæle andres kufferter. Men man skal heller ikke efterlade nukleart materiale på en banegård, siger vedkommende til Politiken.

Hackeren har delt en fil med de mange CPR-numre med Politiken, der har givet it-sikkerhedsekspert Emil Hørning fra virksomheden Defend Denmark mulighed for at lave en kort analyse af de mange data.

Han vurderer det som sandsynligt, at hackeren taler sandt, og at vedkommende har benyttet den angivne metode.

Interviewet med hackeren er foregået på engelsk over en krypteret tjeneste.

Forsknings-, uddannelses- og digitaliseringsminister Christina Egelund (M) erkender i et skriftligt svar, at sikkerheden omkring CPR-systemet ikke har været god nok.

Hun siger, at der nu er sat en stopper for, at uvedkommende kan få adgang til systemet på tilsvarende vis, og har samtidig bedt om en sikkerhedsgennemgang af systemet.

Private virksomheder og foreninger kan i dag få adgang til CPR-registret, hvis de for eksempel har brug for adresseoplysninger på kunder eller medlemmer.

RITZAU