Det der skete
Foto: Jack Baxter på Unsplash
8,8 Millioner CPR-numre fra levende, udrejste og døde danskere er havnet hos uvedkommende. Ikke via et hullet system, men fordi nogen misbrugte en dansk virksomheds lovlige adgang til CPR-registret, oplyser CPR-administrationen ifølge Version2. Datatilsynet og politiet er inde i sagen, og digitaliseringsminister Christina Egelund har orienteret Folketinget og iværksat nye initiativer omkring CPR. Samme medie har desuden samlet syv tidligere dokumenterede sager, hvor CPR-data endte forkert, fra systemfejl til CD-rommer på afveje. Det er et kronisk mønster, ikke en enkeltulykke.
Bemærk angrebsfladen: en legitim kundes credentials. Ministeriet minder selv om, at man aldrig må udlevere kodeord over telefon eller mail, hvilket lugter af phishing som indgang. Pointen for os andre er, at databrud i dag sjældent handler om at hacke sig igennem, men om at låne en betroet parts nøgler.
Hvad det betyder for dig
Vi skrev i september om det britiske bank-databrud, at fødselsdatoer og identifikatorer er en gældspost i din stak. Det mønster er nu bekræftet i dansk skala: hele befolkningens navn, adresse og fødselsdato, som jo sidder indbygget i CPR-nummeret, kan nu citeres af enhver, der køber listen videre. Tre konsekvenser.
CPR-nummeret er dødt som autentificeringsfaktor. Ministeriets advarsel mod at stole på folk, der “lader til at kende dit navn, adresse og CPR-nummer”, er en indrømmelse af, at alt, hvad angribere kan fremsige, er værdiløst som identitetsbevis. Gennemgå jeres kundeflows for “vi kan se, hvem du er”-verifikation. Hvert enkelt er nu en phishing-rille.
Behandl CPR som en kompromitteret join key. Dansk marketing har i årtier brugt CPR-nummeret som gratis, unik kunde-id på tværs af CDP, CRM og kampagnesystemer. Den nøgle er lækket, og du kan ikke rotere den. Pseudonymisér matchningen, saml fulde numre ét sted, og start migreringen mod alternative nøgler i dit master data-setup nu. Anden ordens-effekten: ministerens “initiativer i forhold til CPR” kan ende i et ændret format (CPR+-diskussionen kører allerede). Sker det, skal alle systemer, der matcher på CPR, ombygges samtidigt. Det er billigere at gøre frivilligt og planlagt end i panik på politisk kommando.
Kortlæg din egen CPR-adgang. En dansk virksomhed med lovlig adgang leverede netop danmarkshistoriens største læk. Hvis du selv abonnerer på CPR-opslag, eller gør det via en dataleverandør, er dit GDPR artikel 32-ansvar konkret: hvem har credentials, hvordan logges opslag, hvad siger databehandler-aftalen? Det er de spørgsmål Datatilsynet stiller om en måned, og du vil have svarene klar først.
CPR-nummeret var dansk marketings mest bekvemme identifikator i 50 år. Fra i dag er det et lækket password, du ikke kan skifte.
Ét svar til “8,8 millioner cpr-numre kompromitteret: Din kundenøgle er død”
[…] faktura for dataudtræk. Hos en leverandør, der også overså kørekort-lækket tilbage i 2012. Som vi skrev, da nyheden brød, er CPR død som kunde-id. Men konsekvensen rækker videre end din egen nøglestruktur: Nu handler […]