Efter det omfattende CPR-læk advarer OpenID Foundation mod at bruge CPR-numre, adresser og fødselsdatoer til at kontrollere folks identitet.
Organisationen peger på en eksisterende teknologi, der kan gøre det mere sikkert at identificere sig, også når man taler i telefon.
Du ringer til banken eller en virksomhed og bliver bedt om at oplyse dit CPR-nummer, din adresse eller din fødselsdato for at bevise, hvem du er, men den metode er ikke længere sikker nok.
Det advarer den internationale organisation OpenID Foundation om efter det omfattende danske CPR-læk, hvor uvedkommende har fået adgang til oplysninger om omkring 8,8 millioner personer. Oplysningerne omfatter blandt andet navne, adresser og CPR-numre.
Problemet er, at svindlere kan bruge den slags oplysninger til at udgive sig for at være andre, og når personlige oplysninger først er blevet lækket, kan de ikke bare udskiftes som en adgangskode.
En løsning findes allerede
Ifølge OpenID Foundation behøver virksomheder og myndigheder ikke vente på, at nogen opfinder en ny løsning. Teknologien findes allerede. Organisationen peger på en international standard kaldet CIBA, som gør det muligt at bekræfte sin identitet digitalt, mens man taler i telefon.
Det kan eksempelvis fungere ved, at en medarbejder i banken sender en godkendelse til kundens digitale identitetsapp. Kunden bekræfter derefter sin identitet i appen i stedet for at skulle oplyse CPR-nummer eller andre personlige oplysninger.
Metoden kræver dog særlige sikkerhedsforanstaltninger, så svindlere ikke kan narre personer til at godkende en falsk anmodning.
Advarer om alvorlig risiko
Frederik Krogsdal Jacobsen, der er medformand for en arbejdsgruppe under OpenID Foundation og softwareingeniør hos den danske identitetsvirksomhed Idura, mener, at CPR-lækket bør få virksomheder til at ændre deres praksis.
- Vi har længe vidst, at identitetskontrol baseret på personlige oplysninger ikke er sikker. Dette læk er en påmindelse til alle, der stadig benytter metoden, om, at de udsætter både sig selv og deres kunder for alvorlig risiko, siger han.
OpenID Foundation henviser samtidig til nye danske myndighedsanbefalinger, der fraråder at bruge de lækkede personoplysninger som eneste identitetskontrol i situationer med høj risiko. Organisationens budskab er derfor, at virksomheder og myndigheder bør bruge sikrere metoder til at kontrollere, hvem de taler med.
For selv om en person kender dit CPR-nummer, din adresse og din fødselsdato, er det ikke noget bevis for, at personen faktisk er dig.