r/Denmark • u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 • 8d ago
News Sådan blev CPR-databrud opdaget
https://www.dr.dk/nyheder/indland/saadan-blev-cpr-databrud-opdaget-det-er-ret-chokerende"Det var hverken automatiske alarmer eller stikprøvekontrol, der førte til, at Danmarkshistoriens største CPR-databrud blev opdaget.
I stedet var det den ualmindeligt dyre regning udstedt til “en mindre virksomhed” ved september måneds udgang, der fik myndighederne til at spærre øjnene op.
Det erfarer DR Nyheder."
Nu dør jeg af grin.
"Det virker for tilfældigt, at det er en medarbejder, der laver fakturering, som opdager et kæmpe brud."
Hurra for ganske almindelige kontormedarbejdere. En AI assistent havde nok bare sendt regningen afsted med forslag til afdragsordning.
Overskriften måtte jeg kopiere ind, da DR havde en mærkeligt kodet sætning
55
u/peterlinddk 8d ago
Uanset alt det andet med CPR-numre og usikre systemer: Man skal aldrig undervurdere faktureringsafdelingens evner når det kommer til at opdage/afsløre svindel og hacking!
Enhver med lidt interesse i den slags, bør læse klassikeren af Clifford Stoll: "The Cuckoo's Egg" - hvor han får til opgave at finde ud af hvorfor der er en ubalance på 75 cents i regnskabet for brugt computer-tid. Det fører til en større efterforskning der involverer FBI, CIA, NSA, trækker tråde til Tyskland, Chaos Computer Club, og videre til KGB og international spionage. Sorry, det er svært ikke at skrive som en "bagside-blurb" for det er virkelig en vild historie!
Læs den - det er kun 40 år siden, den er stadig lige aktuel, og lige fascinerende!
1
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 8d ago
Findes den på dansk? Eller hvor mange engelske fagudtryk kræver den jeg kender?
7
u/peterlinddk 8d ago
Nej, den er desværre aldrig blevet oversat, men selv om det er en del år siden jeg læste den sidst, så husker jeg den som skrevet til rimelig "jævne" mennesker. Den introducerer et væld af fagudtryk og termer om hvordan computere og internettet fungerede i midt-firserne, men fordi det var nyt for alle, gør han netop meget ud af at forklare tingene. Jeg lærte selv flere engelske fagudtryk fra den bog, end fra mange andre fagbøger jeg efterfølgende dykkede ned i :)
Som alternativ så er den også "filmatiseret" som et en-times tv-docu-drama afsnit af NOVA, der hed "The KGB, The Computer and Me". Det ligger på Youtube helt frit og gratis - men selvfølgelig også uden ordentlige undertekster.
3
u/JosephineFuck 8d ago edited 8d ago
Det er en fantastisk bog. Eventuelt se forfatteren her, han er en mega karakter. Den der gale professor/Doc Brown fra Tilbage til fremtiden med et energi niveau på top niveau.
38
u/FamilyShoww 8d ago
Så hvis virksomheden ikke skulle betale for at slå op i registret, havde ingen opdaget det?
2
u/ComprehensivePlan 8d ago
Eller hvis man have spredt kaldene mere ud. Gør det over et års tid i stedet for over 10 dage. Det kunne stadig godt lønne sig.
2
u/Ford_Faptor Dankmark 8d ago
Der er sikkert mange virksomheder hvor sådan en faktura bare betales.
Hvad er oddsene for, at det her er sket flere gange, uden at være opdaget andre steder? Temmelig stor..
55
u/kaperni 8d ago
Det er okay. De har lige udtalt på pressemødet, at de har sat monitorering op, så det ikke burde kunne ske igen. De sidste 2.2 millioner numre burde derfor være sikre.
33
u/CWewer 8d ago
Jeg ved godt det er en joke, men INGEN cpr numre er sikre, det var de ikke før i dag, og heller ikke efter. Den her hændelse har gjort INGENTING for sikkerheden af CPR-nr, de har ALLE været offentligt tilgængeligt for hvem som helst med en smule teknisk snilde.
Derudover er de delt vidt og bredt. Så det her er nok det bedste der er sket for CPR-NRs sikkerhed, for nu forstår folk forhåbentligt at man ikke kan bruge det som kodeord - det er vitterligt ikke sikrere end dit navn.
10
u/DrobnaHalota 8d ago
It's not as much the CPR that's a problem, it's the combination with names, addresses etc.
1
6
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 8d ago
Så vi vi håbe det er levende mennesker og ikke de ældste døde fra da cpr blev indført 2. april 1968
1
0
126
u/ByteBandit42 8d ago
Hvorfor er det beskyttet hvilken virksomhed, der er tale om?
92
u/ReptileCake Intellektuelt underlegen 8d ago
Tænker der lige skal undersøges hvorvidt det var en medarbejder i virksomheden som gjorde det, eller om nogen havde fået adgang og lavet bruddet gennem virksomheden.
12
u/Zeales 8d ago edited 8d ago
Absolut ligegyldigt. Når du har adgang til samfundskritisk information, så har du et ansvar for at denne adgang bliver forsvarligt forvaltet. Det betyder du betaler de omkostninger der er for at beskyttet den på et højt nok niveau.
Som en der arbejder med netop samfundskritisk infrastruktur, så kan jeg med 98% sikkerhed sige at der er en leder i denne virksomhed der har sparet X antal kroner på sikkerheden som nu har givet dem bagslag. NIS2 og GDPR kommer til at stå sin test i denne sag og hvis ikke bøden bliver ekstrem og et eksempel bliver statueret, så kommer vi til at stå i samme situation om 5 år.
21
u/nicuramar 8d ago
Jeg kan ikke rigtig se hvad det vil gavne at offentliggøre det endnu. Udover de sædvanlige hate fests.
3
u/Zeales 8d ago
Medmindre det er kritisk for politiets videre undersøgelser, skal der simpelthen være transparens i det videre forløb. Den data og mængden der er stjålet er i sådan en størrelsesorden at det ikke kan nytte at beskytte en virksomhed når vi snakker om potentielt hele nationens allermest personlige informationer.
Vi har set det igen og igen med Nets' nedbrud. Alle de rapporter der kommer ud med det meste af det censureret giver jo ikke Nets nogen grund til at forbedre sig, når folk ikke ved hvad der er foregået og det hele bliver bare nogle politikere der ikke kender til IT der siger "Trust me, bro".
Det er en privat virksomhed der simpelthen ikke har kunnet magtet opgaven og ansvaret og det må de nu stå til mål for. På godt og ondt.
2
u/Mikkelet Denmark 8d ago
Der er stadig menneskers arbejde på linjen, selv en del som har intet med bruddet at gøre. Ville du selv ofre dit arbejde fordi din kollega havde begået en fejl?
1
u/Zeales 8d ago edited 8d ago
Ja, hvis min arbejdsplads var ansvarligt for sådan et stort læk, så var jeg ude af døren inden dagen var omme. Det her læk omfatter din familie, dine naboer, kollegaer, alle dine venner og 8.799.800 andre danskere - både levende og døde, som nu skal til at tage ekstra skridt for at sikre at deres private informationer ikke bliver delt eller misbrugt af hele verden.
Hvis de har fået et fuldt udtræk af informationer per CPR nr, så er det i allerværste fald informationer der kan misbruges i så stor en grad at det kan destabilisere hele landet hvis misbrugt korrekt. Mener dit moralske kompas helt seriøst at du ville have det OK at arbejde for virksomheden der lagde fundamentet til at det kunne ske?
6
u/Mikkelet Denmark 8d ago
Må være fedt at have det privilegie at kunne sige sit job op uden nogen eftertanke
-2
u/ArhDerSigerFarHer Østjylland 8d ago
Synes måske man burde sige sit job op når man arbejder for en kriminel virksomhed. Og før du siger virksomheden ikke er kriminel, så kan jeg nævne at det er ulovligt at være uforsigtig med sin adgang til CPR registret hvilket vi rigtig hurtige kan blive enige om at virksomheden var
42
u/BlommeHolm 8d ago
Formentlig af hensyn til efterforskningen, og fordi de osse er ofre i sagen 🤷
23
u/krestiank 8d ago
Hvis det kommer frem at virksomheden har haft en API nøgle liggende frit fremme eller tilsvarende sjusk og dovenskab syntes jeg ikke at vi kan kalde dem ofre.
Det svarer til hvis jeg løber ud på motorvejen og ender med at blive kørt over. Er jeg et offer: Ja, er det min egen skyld: Ja.
48
u/M_Forestvalley Amalienborg 8d ago
"Hvis"
Skal vi vente med at trække høtyve og fakler frem, før vi får en officiel udmelding? Tænker der er nogle, der rent faktisk ved noget, der er ved at undersøge det.
→ More replies (10)17
u/Rubber_Knee 8d ago
Pis også. Havde lige købt en høtyv-fakel-kombo. En slags flammende høtyv.
Gik sådan og glædede mig til at få den afprøvet 🙁12
u/Wise_Owl5404 8d ago
Ja, "hvis". Måske vi lige skulle gemme guillotinen væk indtil vi har lidt mere styr på hvad der er sket.
0
u/krestiank 8d ago
Enig, men undersøgelsen må være ret simpel. For de ved hvilket selskabs adgang, der er blevet misbrugt.
Så er der tre muligheder:
1) En insider, som har handlet i ond tro.
2) IT sjusk, hvor en hemmelig nøgle er lagt offenligt ud og ingen i selskabet har gidet at tjekke og fikse det.
3) En helt ukendt fejl i CPR systemet.Mine penge er på 2, da det næsten altid er sjusk og nærighed, der er årsagen til at det her sker.
5
u/freeall Kbh 8d ago
4) Nogen har fået adgang til det system hvor de gemmer deres hemmeligheder
5) Nogen har fået adgang til deres deployment hvor koden måske kan afkodesDet kan sagtens være det ikke er sjusk.
→ More replies (1)0
u/krestiank 8d ago
Det har du ret i.
Tror dog sandsynligheden for sjusk er større end at et eller andet er hacket.
6
u/SilveredUndead 8d ago
Eller værre... Der er tale om en smart manager der fik en AI agent til lige at lave et API udtræk for at tjekke deres kunder, som så fik lov til at køre alt ud uden at der sad en voksen ved bordet.
Jeg har hørt om lignende idioti i anden kontekst, dog bare lidt for brede udtræk på Google marketings data. Stadig en dyr fornøjelse, selvom det ikke var ulovligt.
10
u/Wise_Owl5404 8d ago
Hvor idiotisk dette end er, så er det faktisk best case scenario. Det ville betyde at vores mest følsomme data ikke ligger på det mørke net.
1
u/nicuramar 8d ago
Det er vist ikke helt vores “mest følsomme data” der er tale om her, dog.
4
u/Wise_Owl5404 8d ago
CPR nummer, fuldt navn og addresse, civilstand, hvor du er født, hvem dine familiemedlemmer er - forældre, søskende, og børn - sammen med deres fulde navn og CPR nummer, jobinformation. Og det er bare de databanker jeg kan huske i hovedet, der er langt flere.
1
u/LukasFT Kø'enhavnstrup 8d ago
Sundhedsdata er dog langt mere følsomt. Gør det ikke bedre, men det er ikke vores mest følsomme data IMO
0
u/Wise_Owl5404 8d ago
En hel del sundhedsdata er tilgængelige via CPR-registeret, og nu direkte "serveret" sammen med resten
3
u/Visible_Abies_3246 8d ago
Hvilke sundhedsdata skulle ligge i CPR? Og hvornår er ens jobinformation havnet i CPR?
1
u/SilveredUndead 8d ago
Det er dog svært bekymrende, for hvis det har været en AI der har gjort det, så er der stor sandsynlighed for at de nu ligger inde med den data. De gemmer alle alt hvad man sender, og hvad deres AI finder og sender retur. Når der er tale om en lille virksomhed, er det usandsynligt at det ikke er en AI som Claude eller Gemini, og jeg ved ikke om jeg syntes om at de har alt den information knyttet til CPR. Jeg har personligt gjort meget for ikke at lade Google have en god profil på mig.
0
u/SilveredUndead 8d ago
Tjoo... Altså, både Claude, ChatGPT, Gemini, Grok og Deepseek har alle brugerbetingelser der lader virksomheden gemme både det du sender, og det deres AI finder og dendee retur. Hvilket betyder at hvis dette er hvad der faktisk skete, så er det en af dem der ligger inde med en masse information om hele Danmarks befolkning.
2
u/Flat-Performance-478 8d ago
Og der er endda eksempler på at disse tjenester arbitrært har "blurtet" personfølsomme oplysninger til andre brugere.
Som i:
"Her er et eksempel på dit dataset:
010165-1234 Gitte Hansen
090268-5678 Johnny Gottlieb
...
"1
u/SilveredUndead 8d ago
Ja, de bruger jo det de får som træning, så det kræver i princippet bare at en privatperson har delt en lønseddel, og så har den AI alt den har brug for til at genskabe den persons private informationer.
1
0
u/Wise_Owl5404 8d ago
Der er en kæmpe forskel mellem at noget muligvis er blevet viklet ind i et enormt sær af træningsdata, og at noget er direkte tilgængelige for alverden kriminelle.
1
u/SilveredUndead 8d ago
Det er ikke bare viklet ind i ulæselig data. Hvis den virksomhed der har haft deres AI til at lave dette bare trækker den interaktion op, så har de alt den data direkte. Det kan OpenAI, Google og Anthropic uden problemer. Derudover er det så også en ret stor risiko, hvis det er en del af deres træningsdata, og man så kan bruge den AI til bare at trække data frem. Der er selvfølgelig en chance for at den ikke spytter det korrekte data ud, men det er ikke ligefrem ingenting, hvis en af de store AI modeller pludselig kan dele en masse oplysninger hvis den bare får et CPR nummer.
1
u/UAFlawlessmonkey Danmark 8d ago
Min første indtryk da jeg hørte om det, var også klart at det helt sikkert var noget vibe coded slop med mangel på voksent opsyn.
1
u/BlommeHolm 8d ago
Hvis en medarbejder har udnyttet at sikkerheden hos CPR og Datafordeleren er ingenting, er vi ude i en anden situation.
1
3
u/DET_SWAT 8d ago
Det er en undersøgelse i gang så jeg tænker vi nok skal få noget af vide på et tidspunkt
4
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 8d ago
Jeg har også lyst til name and shame her
20
u/Quick-Penalty4883 8d ago
Ja, de har tydeligt is haft et siklerhedsbrud. Men det er jo ikke den mindre virksomhed der har designet et system så dårligt, at ingen alarmklokker ringede da man var ved at læse hele databasen ud
3
u/Visible_Abies_3246 8d ago
Nej, men samtidigt har virksomheden ikke haft styr på deres adgang til CPR, eller deres interne applikationer der benytter den adgang, hvis den kunne misbruges på denne måde. Der betales jo pr. forespørgsel til CPR, så virksomheden burde nok have haft en applikation foran CPR's API der så kunne begrænse brugen før deres regning løb løbsk.
1
u/Husgaard 8d ago
Det her viser dog, at der bør stilles krav til IT-sikkerheden hos de virksomheder der kan trække fra CPR-registeret, hvad der reelt ikke gøres i dag.
1
u/xondk 8d ago
Altså, det firma har jo tilsvarende ikke haft nogen alarm klokker der ringede når deres system begyndte at opføre sig sådan, dataen er jo forspurgt udefra, gennem deres system.
1
u/Quick-Penalty4883 7d ago
Det ved vi jo ingenting om, at data er forespurgt igennem deres system. Hvis deres credentials er blevet stjålet kan deres system jo ikke se hvilke kald angriber har lavet direkte til cpr efterfølgende
1
u/HitmanZeus 7d ago
1
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 7d ago
Det er den samme artikel som
Og jeg læser som en bagrundsartikel og ikke en rygende pistol
19
u/AlternatePancakes 8d ago
Og her knokler mine kolleger og jeg i den offentlige sektor for at sikre at vi overholder NIS 2, har passende teknisk sikkerhed og integrere løsninger i vores SOC for at beskytte vores borgeres data.
Og så har staten ingen fucking sikkerhed på lortet i deres ende.
Hvordan fanden kan vi blive pålagt os så fandens mange krav, som de ikke engang selv gider at overholde. Og så endnu værre når de kan påtvinge os deres egne rådne løsninger som er "udviklet" af Statens IT.
4
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 8d ago
Ifølge branchemedier som Ingeniøren og Computerworld er det særligt ældre it-systemer, der kan være svære at erstatte, som DXC Technology Danmark fortsat har ansvaret for. Men så sent som i 2021, da driften af cpr-systemet senest blev sat i udbud, var det også DXC, der kom sejrrigt ud af situationen.
Fra denne artikel
"Ældre it systemer" som ingen tør røre ved?
4
u/AlternatePancakes 8d ago
Så kan man gøre som de gør alle andre steder. Bygge en løsning oven på den gamle, hvor du trygt kan lave nye konfigurationer og opsætte den nødvendige sikker. Er det ideelt? Nej, men det er bedre end at trække på skuldrene og sige "Vi ved ingenting"
2
u/aaaviktoriaa 7d ago
Vi kæmper også med at implementere krav i NIS2 der hvor jeg arbejder - så meget at vores eget arbejde med leverandørtilsyn halter bagud. sjovt nok fik vi for et par uger tilbage et brev fra CPR kontoret om at redegøre for procedurer, brug, IT-sikkerhed m.m.
Det var praktisk talt en self-asessment, og selvom jeg kun har været i kommunen i 6 måneder, havde jeg troet der skulle mere til i et tilsyn end blot at levere en mail tilbage med "ja vi overholder krav" (vi skrev selvf noget andet, men synes det vi leverede var noget tyndt)
Jeg er faktisk helt i tvivl om CPR administrationen fører tilsyn med private virksomheder med legitim interesse - det skal de vel?
2
u/AlternatePancakes 7d ago
Det lyder muligvis som om at vi sidder på samme arbejdsplads.
Ja, forsyningskæde sikkerhed er et NIS 2 krav, så det skal de. Men problemet er at NIS 2 ikke som sådan fortæller dig præcist hvad du skal gøre, medmindre din organisation reelt varetager den kritiske IT-infrastruktur. Så er man underlagt gennførelsesforordningen 2024/2690, det er også den forordning ENISA har lavet deres egen implementerings vejledning ud fra. - Kan stærkt anbefale at se i den, selv hvis man ikke er underlagt den forordning.
Men problemet med third-party risk management og alt det som hører under, er at der ikke findes noget som helst formalia for hvordan du skal udføre de fleste af opgaverne.
Det er nok den sværeste disciplin i informationssikkerhed. At vurdere hvor vidt en ekstern og deres produkt er sikker, ud fra offentlig tilgængelig viden og de svar de er villige til at give.
Det er et område mange virksomheder halter eller er dovne på. Noget tyder på at CPR-administration var dovne.
2
u/aaaviktoriaa 7d ago
Af hvad jeg har erfaret på min korte tid i det offentlige, så forsøger man oftest at implementere så standardiseret en tilgang til noget som helst som muligt. Så på trods af at NIS2 forpligter en risikobaseret tilgang, så tror jeg at det nærmest er umuligt for mange at kapere, hvordan sådan en proces skal efterleves hos en offentlig myndighed.
Jeg ærger mig faktisk en smule over at jeg har taget ferie i den her uge, og glæder mig en del til at vende tilbage mandag og høre hvad planen er fremover haha
Har et lille håb om at det her brud kan være led i at der afsættes flere ressourcer og måske endda fokus på hvor meget kommunen halter bagud ift. Infosec og it sikkerhed!!
Så også lige at kombit (eller KMD?) har haft nedbrud i dag. Er vi ude i noget lateral movement fra CPR her, eller er det mon bare et tilfælde?
Det har nok været en ret vild uge på kontoret
2
u/AlternatePancakes 6d ago
Det er svært at sige om det er en direkte sammenhæng gennem lateral movement.
Hvis der findes en sammenhæng, så kunne jeg forestille mig at det nok mere er, at nu er det blevet opdaget hvor dårlig sikkerhed mange af statens legacy løsninger har. Så det kan være nye angribere som begynder at grave eller de samme som prøver at se hvad de ellers kan finde af sårbarheder.
Men ift. Til vores arbejde i det offentlige, så vil jeg sige at der stadig er nogle af vores egne processer og arbejdsgange som halter lidt. Men jeg skubber enormt meget for at det skal ordnes, fordi det skaber ret meget forvirring og skubber behandlings tiden på vores sager.
Og planen fremover? Jeg kan ihvertfald fortælle at i det team jeg sidder i, så er det ikke noget der som sådan er blevet taget stilling til endnu...
45
u/Physical-Cut-2334 Danmark 8d ago
gad godt hvide hvilke virksomhed “en mindre virksomhed” rent faktisk er, og er grund i at 8,8 millioner CPR nummer er ude, name and shame.
Hvis man har adgang til CPR registret, så burde man have en hvis form for sikkerhed.
26
u/plx85 8d ago
Hvorfor nedgøre du det eneste offentlige API som faktisk ikke for ned når det bliver belastet?
/s
18
u/TarpCPH 8d ago
Kan jo være en hvilken som helst autoværksted. De kan tilgå CPR
Sjovt hvordan folk betragter CPR som noget hemmeligt, de burde nærmere betragtes som et brugernavn når man tænker på hvor mange der har adgang
17
u/plx85 8d ago
Min joke gik på at et offentligt API som kan server 8,8 mill. requests på 10 dage, uden at gå ned, må være en ny rekord.
3
u/WompityBombity 8d ago
Og det går relativt ofte ned. Mange af de mindre "udfald" fremgår bare ikke af deres oppe-/nedetidsindikatorer.
2
u/TarpCPH 8d ago
Haha true! Det skal de næsten have ros for
Men ja, virker dumt at alle med adgang kan suge hele databasen uden nogen former for stopklods
2
u/plx85 8d ago
Enig. Det virker helt tåbeligt at de ikke har en en kontrakt hvor man har lavet et estimat på hvor mange man må trække pr uge.
Forhåbentlig ændre de cpr nummere fra at være en sikkerheds nøgle til en meget usikker identifikation. Det er også vildt at man kan optage lån med en persons fødselsdag og så 4 tal.
2
2
5
1
u/GlitchKMD 8d ago
U need to have a cpr certificate from datafordeler and whitelisting of the ip on both the receiver and from datafordeler.
But I guess it’s harder to protect against someone who misuses the access.3
u/bornema2n 8d ago
Ja, virksomhedscertifikat (VOCE) installeret på pc, som skal valideres ved hver forespørgsel og ip-adressen skal være whitelistet. Det er ikke bare nogen, som har "ladet en api-nøgle ligge og flyde", som nogle foreslår.
1
u/Visible_Abies_3246 8d ago
CPR also offer access without Datafordeler, and there you use a username and password in the get token request. Not clear if the access is also IP-restricted. See https://cprservicedesk.atlassian.net/wiki/spaces/CPR/pages/3169615912/CPR+Direkte+ADRM+-+Match+Address+Match#CPRDirekteADRM-Match(AddressMatch)-_login_request.
-1
u/arminam_5k Danmark 8d ago
Min hypotese: Skatteguiden?
1
u/GwimWeeper Sønderbronx 8d ago
Der er VIRKELIGT mange selskaber der bruger CPR opslag og hvorfor skulle skatteguiden bruge det når du giver dem fuldmagt til din egne data under skat?
9
u/Husgaard 8d ago
Når man læser artiklen og OPs kommentarer kan man let få det indtryk, at det var en medarbejder ved CPR-kontoret der laver fakturering, som opdagede databruddet. Men det er ikke korrekt.
CPR-kontoret fakturerer kunderne en gang om måneden, og det er altid den første hverdag i måneden. Så da den 1. oktober var en torsdag blev fakturaerne lavet og udsendt denne dag. Men databruddet blev først opdaget sent den 2. oktober.
Det betyder, at CPR-kontoret sendte en kæmpe regning for 8,8 millioner opslag i CPR-registeret ud til den private virksomhed uden at opdage noget. Og det var først da virksomheden dagen efter brokkede sig over den store regning, at databruddet blev opdaget.
1
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 8d ago
Fantastisk, selvfølgelig har du ret, så fakturering er selvfølgelig sket automatisk og det er den efterfølgende kundeservice medarbejder, der ikke er blevet erstattet af AI (endnu), der har sendt fakturaen opad i systemet.
Mon ikke vedkommende bliver flyttet til andet arbejde nu?
8
u/MindMonitor 8d ago
Bare lige for at melde ind, at det sagtens kan være at nogen/flere/mange har “høstet” CPR numre og over længere tid. Det der afslørede dette læk var omfanget/tydelighed på fakturaen. De smarte hackere ville dele det op over længere tid.
Så, gætter på nogen er ligeglad med at det opdages, og måske er hele ideen at det skulle opdages.
1
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 8d ago
Ja, måske for at skræmme os? Alt kan tænkes?
For at vise hvad de kan?
1
u/MindMonitor 8d ago
Jeg ved det ikke.
Men - nogen har stjålet noget vi gladeligt har gjort tilgængeligt via API, som både offentlige institutioner og private virksomheder kan få/tilkøbe.
Tænk f.eks. forsikringsselskaber; de ligger alle inde med dit CPR nummer, og bruger dem til f.eks. at sende digitale breve, “verifikation” (kæmpe sikkerhedsmæssig sovepude, btw) og mange andre processer. Teleselskaber, din bank, forsyning, alle offentlige institutioner…gud og hver mand har enten adgang til hele registeret eller helt centrale dele af det. Uanset hvad, så er angrebsfladen alt alt for bred hvis CPR skulle være kritisk. Så hvilket ben står vi på, kære politikere?
Om det er Rusland, Luxembourg eller en script-kid fra Hanstholm er det værste myndighederne kan gøre lige nu at gå i full-on panic mode. De skal slappe af, lade politiet efterforske OG fortælle virksomheder og offentlige instanser at de ikke længere må bruge CPR som verifikation i deres offline processer. That’s it. Og i den besked de sender fra Digitaliseringsstyrelsen kan de passende beklage at de ikke haft klare og tydelige retningslinjer, plan og krav på plads langt tidligere og undskylde det nu skal ske i al hast - og at de nu (nu) lægger sig i selen for at drive migration fra CPR til noget nyt og tidssvarede. Det bliver dyrt og ubelejligt…men det skal ske.
1
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 8d ago
Specielt synes jeg at de skal begynde at give befolkningen ordentlige råd de kan forstå i stedet for de vrøvl de skriver på sikkerdigital
5
u/Helmutlot2 8d ago
Jeg har arbejdet med samme integration i en større dansk virksomhed. Det er helt godnat der ikke er kontroller for at lave så mange kald på sort kort tid fra hvem registerets side eller virksomhedens
5
u/Karma8719 8d ago
Der er noget jeg ikke kan få til at hænge sammen. Når man kalder CPR service, sender man jo noget af sted. Et navn, en adresse eller et CPR nummer. Man kan jo ikke bare bede om et tilfældigt nummer ad gangen og så forvente at blive færdig. Nogensinde. Man kan heller ikke bede om "et cpr nummer jeg ikke allerede har".
Så hvad har deres payload været? Har de spurgt på alle adresser i Dk en ad gangen? Alle potentielle, gyldigt konstruerede cpr numre? Eller noget andet?
4
u/toxvaerd Valby 8d ago
De kan have prøvet et nummer af gangen.
Der kan max være 540 gyldige CPR-numre per dag, grundet den måde de sidste 4 numre er konstrueret.
Lad os sige de vil slå numrene op for hver dag de sidste 100 år. Det giver cirka 20mil forskellige kombinationer.Hvis man fordeler dem over nogle dage kan man sagtens lave så mange opslag uden at overbebyrde systemet.
2
u/docatron Fremtrædende bidragsyder 8d ago
Og er det med fødselsdato før år 2000 er vi vist under 480 som max antal kombinationer per dag, så der skæres yderligere 10% af mulige kombinationer.
4
u/dullerballer 8d ago edited 8d ago
Hvis i bare vidste hvordan offentlige myndigheder sjusket med alt slags data...
I Danmark har der været tradition for, at adgangen til folks data var tidlidsbaseret, og at man selvfølgelig pr definition kunne stole på en offentlig ansat.
Derfor kæmpede også først Danmark i mod GDPR forordningens gyldighed for offentligheden instanser i det hele taget nede i EU. Da det ikke lykkedes at få den fritagelse, så kæmpede fx kommunerne så hårdt i mod som muligt på nationalt plan, at de skulle være omfattet...
I dag har stort set alle myndigheder forskellige systemer til at adgangsbegrænse og logge opslag. Problemet er bare, at mange af systemerne er så simple, at de efter bogstavet måske opfylder kravene, men reelt anvendes håbløst og i strid med alle reguleringens grundprincipper i praksis.
Fx helt basale bruger/password modeller med log af intet andet end klokkeslet og brugernavn. Mange logger ikke selve opslagene, ip-adresser eller lignende. Og det er fuldstændigt almindeligt at man bare skriver til admin og får oprette fx afdelingsbrugere eller elevbrugere, altså brugere som flere deles om eller er reelt anonyme.
Selv om cpr-numre allerede inden dette var nedgraderet personfølsomhedsmæssig, så er det her barevden første store skandale, som blotlægger hvor sjusket og hovedløst data håndteres.
Bare vent, der skal nok komme mere de kommende år, af langt mere alvorlig og følsom karakter.
6
u/gralert 8d ago
Og har I så også læst at der er tale om 14 millioner opslag over en periode på 10 dage...?!
Hvorfor helvede er der ingen begrænsning på opslagsraten i CPR...?!?!?!?
7
u/Nicore18 8d ago
Det er noget i omegnen af 16 opslag i sekundet. Man skulle da tro at sådan noget vil blive opdaget. Især når det siges at alt logges ved dem som bruger CPR, især hvad de kigger på.
6
3
u/CapableBorg 8d ago
Det er jo penge i kassen for DXC, så de er sgu da ligeglade med hvor mange opslag man laver.
4
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 8d ago
Mærkeligt at regnskabet ser elendigt ud, så?
1
u/BoeseGoethe 8d ago
Se min kommentar her: https://www.reddit.com/r/Denmark/comments/1wz1bih/comment/pe9cxdl/
2
u/Husgaard 8d ago
Nu kommer pengene i første omgang i kassen hos CPR-kontoret (en del af staten), som ejer CPR-registeret. Senere betaler CPR-kontoret DXC for at drifte IT-systemet i henhold til kontrakten, omkring 50 millioner kroner om året.
Ifølge finansloven for 2026 er indtægterne fra CPR-kontorets salg af oplysninger om os 78,6 millioner kroner.
3
u/tommy888888 8d ago
Sygt at næsten alle firmaer kan have adgang til CPR.
Kan det være russere?... tja, det er muligt, vel kun et spørgsmål om tid før det går rigtigt galt.
Og det må det jo gøre med to ledere der både lider af storhedsvanvid og midreværdskomplekser....... og samtidigt tænker mere på, og har mere omsorg for, alle andre end danske (skatte)borgere.
100 milliarder kroner.......... puf!
3
u/beheersbarevreugde 8d ago
Kan vi lige gentage at sådanne sager bør være dødsstødet for forsøg på at logge mere data. Det næste læk vil så være meget værre end vores "hemmelige" addresse kartotek.
2
u/Ghepip 8d ago
Jeg så en for halvanden time siden gætte på at dette var måden det blev opdaget op.
3
u/Dunified Denmark 8d ago
Så en gut på Linkedin skrive en post om det i går, at det sikkert var pga fakturering, fordi det er opdaget på dette tidspunkt. Kan desværre ikke finde indlægget, ville ellers give ham en "damn, du havde ret" 😄
1
1
2
3
u/hazily Aarhus 8d ago
En højtstående person kommer til at blive afskediget med en meget rundhåndet fratrædelsesgodtgørelse på flere millioner – for noget, der i bund og grund skyldes inkompetence og ren og skær forglemmelse.
3
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 8d ago
Ministeren? Eller en kontorchef, det skal nok lære faktureringsmedarbejderne at holde kæft næste gang, medmindre selvfølgelig chefen er ilde lidt
2
u/Ordeterfrit 8d ago
Jeg vil have erstatning. Mon ikke vi alle ønsker dette?
2
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 8d ago
Her er firmaet der driver CPR systemet, det ser ikke ud til de har råd
2
u/TM1985DK 8d ago
ser heller ikke ud til de aldrig har formået at lave overskud som så.
https://www.proff.dk/regnskab/dxc-technology-danmark-as/valby/it-drift-og-support/GL53PII0ZDG
Troede nærmest at det var umuligt ikke at lave milliarder i overskud, når man lavede IT systemer til staten *host netcompany*
8
u/BoeseGoethe 8d ago
DXC (tidligere CSC) tjener masser af penge. Bemærk i regnskabet posten "Vareforbrug". Det er ikke en fabrik, så forklar mig lige hvordan en IT-virksomhed bruger cirka halvdelen (500-600 mio.) af sin omsætning om året i "vareforbrug".
Jeg kan godt afsløre det for dig: Det er til licenser (som er steget, tak Broadcom) og så til... services de køber af deres andre selskaber i lande med en mere gunstig beskatning. Jeg kalder det ikke "transfer pricing" for det ville jo være at sige de gør noget ulovligt og nogle få af disse mange hundrede millioner går også til indiske udviklere.
Det er en IT-virksomhed, hvor "personaleudgifterne" er under "vareforbrug", hvor situationen i IT-virksomheder typisk er, at "personaleudgifterne" udgør 80-90% af udgifterne.
Det forklarer måske også, at de heller ikke opdagede dengang Gottfried (fra ThePirateBay) havde hente hele det danske kørekortregister ud fra deres mainframe. Det fandt man først ud af, da Säpo ad flere omgange tog kontakt til det danske politi for at fortælle at man havde fundet det på hans computer i Sverige.
1
1
u/Husgaard 8d ago
Du fik en upvote fra mig for en indsigtsfuld kommentar.
Men omkring Gottfried fra The Pirate Bay vil jeg lige erindre om, at han først kom for retten i Sverige for stort set tilsvarende hacking af offentlige systemer i Sverige. Her blev han pure frikendt. Da myndighederne i Sverige ikke kunne få ham dømt i deres eget land, udleverede de ham til Danmark, hvor han blev dømt.
1
1
1
u/Uffen90 8d ago
Er der så nogen der ved hvordan man bedst muligt sikrer sig i mod misbrug af ens cpr ?
En eller anden alert der kan tjekke ind eller periodisk tjek ved skat for at se om der er optaget lån?
1
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 8d ago
Nej, ikke mig bekendt. Og alle og enhver kan også tilmelde deres egen ejerafgift til din PBS, hvis de tilfældigvis rammer din banks registrerings nummer og dit kontonummer.
En kreditadvarsel er kun noget som lånefirmaerne tjekker og så afviser de at låne til dig, hvis altså lånefirmaerne har styr på deres system
1
u/Uffen90 8d ago
Det er egentligt for dårligt, at der ikke er en eller anden form for alert på det. Eller at man kan få en besked om at ens cpr er dukket op et sted det ikke hører hjemme.
Så man skal bare håbe på at firmaerne tjekker for det, og de så nægter lånet?
Hvad fanden gør man egentligt i det tilfælde at man er blevet misbrugt på den måde og lige pludselig står med en regning man ikke selv har opbygget..1
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 8d ago
Melder det til politiet, hvis de vil høre på det? Finder en advokat, hvis du har råd? Melder det til en forsikring, hvis det kan hjælpe, det tror jeg bare ikke det kan
1
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 8d ago
"Uvedkommende har skaffet sig adgang til 8,8 mio. personers oplysninger i CPR-systemet. Den uautoriserede adgang er lukket, og sagen undersøges. Vær ekstra opmærksom på tegn på misbrug. Du kan få hjælp og vejledning på sikkerdigital.dk eller hos Cyberhotline på +45 33 37 00 37.
Sådan skal du forholde dig ved uautoriseret adgang til CPR-oplysninger"
Herfra: du kan jo prøve at ringe
1
u/nicuramar 8d ago
Tilfældigvis lige rammer dit kontonummer.
1
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 8d ago
Jeg har oplevet det, ringede til motorstyrelsen og personen ved telefonen indrømmede at du kunne ske og det eneste jeg kunne gøre, var at holde øje med planlagte PBS aftaler og slette de forkerte inden de trak pengene. Der er ingen måde at kontakte den der har lavet fejlen
1
u/WentThisWayInsteadOf 7d ago
Selve adgangen er ganske normal, så langtid man ikke bruger flere forspørgelser en de man har lov til (x antal per minute, x antale per time, osv), så er der ikke nogen der stiller spørgsmål.
Det er kun inden for de seneste par år hvor man man er begyndt at kigge på om det er normalt at en eller anden sender så mange forspørgelser da det ikke er normal for denne "kunde" (bruger). Men det er kun fordi man er begyndt at snakke om AI agenter....
Dette er nok noget der får sikkerheds mennesker i mange organisationer til at vågne op.
1
u/Ok-Drawer5245 7d ago
Altså hvis man bliver overrasket over at man i det offentlige er lallende amatører ift. at passe på vores data så følger man sgu ikke meget med. Der har været utallige læk igennem tiden med det tilfælles at det ikke har haft nogen konsekvenser for dem der via deres inkompetence har begået de mange fejl.
1
u/LuckyAstronomer4982 *Custom Flair* 🇩🇰 7d ago
Ja, de er lallende amatører og aner ikke hvad de skal rådgive os til
1
u/s1d3b00b 8d ago
Det kommer sjovt nok meget belejligt i forhold til at man gerne vil til at ID verificere alle borgere digitalt med apps og biometric ditten og datten. *host host..
Vi må hellere alle sammen se at få den chip snart, så vi kan føle os sikre. hehe.
→ More replies (1)5
u/MasterOManyfMuffins 8d ago
Din fucking smartphone har allerede alt hvad du frygter. Ingen gidder at chippe dig. Du render allerede rundt med den bedste tracking device.
1
u/ADOMZ 8d ago
Tror folk glemmer at pris vejer over sikkerhed, Skat brugte stadig magnettape til at lager oplysninger indtil start 10'erne, det er ingen overraskelse at CPR er lækket, det har altid været usikkeret, en 7 klasser som ved intet om it-sikkerhed og kryptering kunne gøre det bedre
2
u/therealdilbert 8d ago
det er har aldrig været meningen at CPR skulle være "sikkert", en hemmelig nøgle, eller noget som helst i den stil.
1
u/WhatUnicorn 8d ago
Ahvad?
3
u/memnoch112 8d ago
Det har aldrig været meningen at CPR skulle være “sikkert”, en hemmelig nøgle, eller noget i den stil.
0
u/dj_jazzy_gif 8d ago
Mon en eller anden medarbejder har fyret op for en AI agent, som så eller bare har kørt på uden at man har evnet at fange det mens det stod på?
0
u/Intelligent_Flow_319 8d ago
Identifikation ved folketingsvalg laves nok om. Måske noget qr kode eller lignende ligesom fra kørekort appen. Lige nu er der ihvertfald ingen identifikation andet end et valgkort.
Ligesom alle processer der kræver at du bare foreviser sundhedskort ændres til forevisning af sundhedskort + billed id eller en app med qr kode.
1
u/nicuramar 8d ago
Valgkort + fødselsdato. Jeg tænker ikke den her læk svækker den sikkerhed væsentligt.
0
u/Lit_Cucumber 8d ago
Alt hvad den danske stat er involveret i er amatør arbejde. Kina, Rusland og Nordkorea kan lukke hele DK ned hvis de vil. Ikke engang Vejdirektoratet kan bygge en bygning som KU uden den bliver 3x så dyr som beregnet. Offentligt ansatte er lavindkomst ansatte og det her er resultatet.
427
u/mortenmoulder 8d ago
Som softwareudvikler der kender til blandt andet rate limiting, er det for mig grotesk at sådan noget her overhovedet kan ske. Specielt med noget så kritisk som CPR numre. At man så heller ikke har implementeret noget, der minder om anomaly detection er også grotesk. Det er jo fuldstændig til grin.