Medie: IT-kriminel havde adgang til CPR-register i 21 dage og 17 timer

En uvedkommende havde adgang til CPR fra 10. september til 2. oktober, men kompromitteringen stoppede før.

En IT-kriminel havde fra 10. september adgang til CPR-registret i samlet set 21 dage og 17 timer.

Det skriver TV 2 på baggrund af en aktindsigt.

Vedkommende udnyttede dog ifølge CPR-kontorets anmeldelse af sagen til Datatilsynet ikke sin adgang i hele perioden.

I anmeldelsen skriver CPR-kontoret ifølge TV 2, at de foreløbige undersøgelser tyder på, at kompromitteringen stoppede 20. september 2026 - altså efter ti dage.

Men det var først den 2. oktober, at datalækket blev opdaget og adgangen standset.

Forsknings-, Uddannelses- og Digitaliseringsministeriet meldte mandag ud, at uvedkommende havde skaffet sig adgang til blandt andet navne, adresser og CPR-numre på cirka 8,8 millioner personer i CPR-systemet.

Det var sket via en mindre dansk virksomheds adgang til systemet, lød det.

Det er ikke blevet meldt ud, hvilken virksomhed der er tale om. Ifølge DR er der dog tale om en mindre softwarevirksomhed på Fyn, som deler adresse og ejerkreds med en større virksomhed.

DR har siden torsdag forsøgt at få en kommentar fra virksomheden, hvilket fredag formiddag endnu ikke er lykkedes. Derfor vil mediet ikke navngive virksomheden på nuværende tidspunkt.

Mikkel Leihardt, som er afdelingschef i Forsknings-, Uddannelses- og Digitaliseringsministeriet, forklarede tirsdag, at det var en faktura på et "meget stort beløb", som gjorde myndighederne opmærksomme på lækket.

Her lød det samtidig, at virksomheden havde foretaget omkring 14 millioner søgninger på CPR-numre i registret gennem sin lovlige adgang.

- Antallet overstiger langt virksomhedens kundekreds, og virksomheden har tilkendegivet, at de ikke selv har foretaget opslagene. Alt tyder derfor på, at virksomhedens IT-løsninger er blevet kompromitteret, skriver CPR-kontoret i sin anmeldelse til Datatilsynet ifølge TV 2.

Private virksomheder, fonde og foreninger kan få adgang til navne og adresser på kunder eller medlemmer i CPR.

Når en virksomhed laver en søgning i registret, koster det penge for hver søgning.

Efter datalækket fra CPR-registret har forsknings-, uddannelses- og digitaliseringsminister Christina Egelund (M) erkendt, at sikkerheden omkring systemet ikke har været god nok.

Hun har desuden bedt om at få en sikkerhedsgennemgang af systemet.

RITZAU