DI advarer virksomheder: almindelig adgang kan nu åbne for omfattende tyveri af persondata

– Det farlige her er ikke de avancerede hackere. Det er et system, der svarer på det, det bliver spurgt om, igen og igen, gennem en helt almindelig adgang. Derfor skal alle virksomheder, hvor man kan slå op på et CPR-nummer, gennemgå deres systemer nu og ikke vente til næste hændelse, siger Jeppe Engell, cybersikkerhedsekspert i Dansk Industri.

Styrelsen for Samfundssikkerhed, SAMSIK, opfordrede her i weekenden myndigheder og virksomheder til snarest muligt at undersøge og begrænse risikoen for, at uvedkommende foretager opslag og systematisk henter personoplysninger fra deres it-systemer.

Opfordringen gælder langt bredere end systemer med direkte adgang til CPR-registeret. Den omfatter alle løsninger, hvor man ved hjælp af eksempelvis et CPR-nummer, kundenummer eller andet identifikationsnummer kan få vist navn, adresse eller andre personoplysninger. Det kan blandt andet være kundesystemer, selvbetjeningsløsninger, HR- og lønsystemer samt digitale forbindelser til samarbejdspartnere.

Den lovlige adgang kan blive misbrugt
- Det særlige ved truslen er, at gerningsmanden ikke nødvendigvis behøver at bryde ind i et system. Misbruget kan ske gennem en adgang, der i udgangspunktet er legitim, men som bruges til at foretage et meget stort antal opslag, siger Jeppe Engell.

Ifølge Jeppe Engell viser hændelserne, at virksomhederne ikke alene skal kontrollere, hvem der har adgang. De skal også holde øje med, hvordan adgangen rent faktisk bliver brugt.

– Ved CPR-lækket blev misbruget opdaget på en regning, ikke på en alarm. Det skal ikke gentage sig. Sæt et loft over antallet af opslag, og få en alarm, når nogen nærmer sig det. Det er ikke dyrt, og det kan gøres i denne uge, siger Jeppe Engell.

Ved et CPR-læk blev en eksisterende adgang ifølge materialet anvendt til at foretage millioner af opslag på omkring ti dage. Et dansk teleselskab har efterfølgende oplyst, at uvedkommende via en digital adgang, et såkaldt API, kan have fået adgang til kunders navne og adresser.

Risiko for trusler er høj
Advarslen kommer, mens Styrelsen for Samfundssikkerhed vurderer truslen fra cyberkriminalitet og cyberspionage mod Danmark som meget høj. Oplysninger som navne, adresser og CPR-numre kan blandt andet bruges til svindel, phishing og falsk identifikation. Derfor kan datalæk også få konsekvenser for virksomheder, der ikke selv er blevet hacket.

Dansk Industri anbefaler på baggrund af SAMSIK’s opfordring, at virksomhederne tager fem konkrete skridt:

1. Find de relevante systemer. Skab overblik over alle steder, hvor CPR-numre eller andre identifikationsnumre kan bruges til at hente personoplysninger. Husk også kundeserviceværktøjer, adgange til samarbejdspartnere og ældre systemforbindelser.
2. Ryd op i adgangene. Luk konti, som tidligere medarbejdere eller samarbejdspartnere ikke længere skal bruge. Begræns hver adgang, så den kun giver adgang til de oplysninger, der er nødvendige, og brug to-faktor-godkendelse.
3. Gennemgå logfilerne. Se efter usædvanlige mønstre som meget mange opslag fra den samme bruger, opslag uden for normal arbejdstid eller søgninger på lange serier af numre.
4. Indfør grænser og alarmer. Sæt et loft over antallet af opslag, som en bruger eller et system kan foretage, og sørg for, at der kommer en advarsel ved usædvanligt stor aktivitet.
5. Fordel ansvaret på forhånd. Aftal, hvem der undersøger og lukker en mistænkelig adgang, og hvem der står for en eventuel anmeldelse til myndighederne.

- Hvis en ekstern leverandør driver systemet, bør virksomheden blandt andet spørge, om der er sat grænser for antallet af opslag, om virksomheden får besked ved usædvanlig aktivitet, og hvem der har adgang til oplysningerne, siger Jeppe Engell.