Indskærpet sikkerhed for 1039 virksomheder efter CPR-læk

Aktører

Fakta i artiklen

• CPR-administrationen sendte fredag et brev med indskærpelse af sikkerhedsregler til 1039 virksomheder med adgang til CPR-registret.
• Det fremgår af et notat fra forsknings-, uddannelses- og digitaliseringsminister Christina Egelund (M) til to folketingsudvalg.
• Brevet følger efter, at uvedkommende gennem den fynske it-virksomhed Pays fik adgang til 8,8 millioner danske personnumre.
• Virksomheder skal ifølge indskærpelsen have en sikkerhedsansvarlig og løbende kontrollere medarbejdernes adgang.
• Virksomheder skal også følge antallet af månedlige transaktioner i CPR for at kontrollere misbrug.
• Blandt virksomhederne med adgang er selskaber i finanssektoren, teleselskaber, advokatbureauer, fagforeninger og forsikringsselskaber.
• Hackeren havde adgang til CPR-registret gennem Pays i 21 dage og 17 timer, men udnyttede ifølge CPR-kontorets anmeldelse til Datatilsynet ikke adgangen i hele perioden.
• En anonym it-kriminel har over for Politiken hævdet at stå bag angrebet, og adgangen skete via et lækket password fra en tidligere medarbejder.
• Politiken har afdækket, at mindst tre profiler hos Pays brugte adgangskoden "123456", herunder virksomhedens administratorkonto.
• Christina Egelund (M) har erkendt, at sikkerheden omkring systemet ikke har været god nok, og har bedt om en sikkerhedsgennemgang.