Emil Martesen
Danmarks største erhvervsorganisation beder virksomheder gennemgå deres it-systemer, efter at misbrug af en legitim adgang til CPR-opslag kan hente store mængder personoplysninger ud uden et eneste hackerangreb.
Dansk Industri sendte søndag den 25. oktober 2026 en akut opfordring til alle virksomheder om straks at undersøge, om deres it-systemer tillader, at store mængder personoplysninger kan hentes ud ved at slå CPR-numre eller andre identifikationsnumre op.
Advarslen kommer, mens efterdønningerne af det store CPR-læk fra september stadig ryster danske myndigheder og virksomheder.
Problemet er, at misbruget ikke behøver begynde med et egentligt indbrud. En adgang, der i udgangspunktet er legitim, kan bruges til at foretage et meget stort antal opslag og i praksis dræne et system for personoplysninger uden at udløse alarmer, skriver DI i en pressemeddelelse.
“Det farlige her er ikke de avancerede hackere. Det er et system, der svarer på det, det bliver spurgt om, igen og igen, gennem en helt almindelig adgang. Derfor skal alle virksomheder, hvor man kan slå op på et CPR-nummer, gennemgå deres systemer nu og ikke vente til næste hændelse,” skriver cybersikkerhedsekspert i Dansk Industri Jeppe Engell i pressemeddelelsen.
Fem skridt virksomhederne skal tage nu
DI opstiller fem konkrete skridt. Virksomhederne skal først finde de relevante systemer, hvor CPR-numre eller andre identifikationsnumre indgår, og derefter rydde op i adgangene, så gamle brugere og tidligere samarbejdspartnere ikke stadig kan slå op.
Logfilerne skal gennemgås for usædvanlig aktivitet, og der skal indføres grænser og alarmer, så it-afdelingen får besked, før en bruger når at hente store mængder data ud. Endelig skal ansvaret fordeles på forhånd, så virksomheden ved, hvem der gør hvad, hvis mistanken opstår.
DI anbefaler, at virksomhederne sætter et loft over antallet af opslag, en bruger kan foretage, og tilføjer en alarm, der går i gang, før loftet nås.
Cirka 14 millioner opslag på ti dage
Advarslen falder i en periode, hvor myndighederne allerede har strammet retorikken over for det danske erhvervsliv. Styrelsen for Samfundssikkerhed opfordrede den 6. oktober 2026 myndigheder, organisationer og virksomheder til at supplere deres kontrol, så følsomme oplysninger ikke udleveres alene på baggrund af oplysninger fra Det Centrale Personregister.
Uvedkommende havde adgang til CPR-systemet fra den 10. september til den 2. oktober 2026, men de foreløbige undersøgelser tyder på, at selve indsamlingen af oplysninger stoppede den 20. september. Der blev foretaget cirka 14 millioner opslag gennem en lovlig adgang tilhørende virksomheden Pays ApS.
Navne, adresser og CPR-numre på cirka 8,8 millioner personer registreret i CPR-systemet blev kompromitteret. Tallet omfatter både nulevende, udrejste og afdøde personer, skriver DI på sin hjemmeside.
Netop den sag illustrerer, hvad DI nu advarer mod. Misbruget blev ifølge DI ikke opdaget via en sikkerhedsalarm, men først, da regningen for de mange opslag landede. Historien om DI’s nye advarsel er også omtalt hos Fjordavisen.
