Dansk Industri advarer om, at personlige oplysninger kan blive stjålet, uden at nogen behøver at hacke sig ind.
Kriminelle kan i stedet misbruge eksisterende adgange til at hente navne, adresser og andre oplysninger om tusindvis af mennesker.
Kriminelle behøver ikke nødvendigvis at hacke sig ind i en virksomheds it-system for at få fat i dine personlige oplysninger.
I nogle tilfælde kan de bruge en adgang, der allerede findes, til at hente store mængder oplysninger om kunder og borgere. Det advarer Dansk Industri (DI) om.
Advarslen kommer efter sager, hvor uvedkommende har misbrugt eksisterende adgange til at hente personoplysninger. Ifølge DI kan problemet findes i mange forskellige systemer, blandt andet hos virksomheder, hvor ansatte eller samarbejdspartnere kan søge efter kunder ved hjælp af CPR-numre eller kundenumre.
Systemerne udleverer oplysningerne
Problemet opstår, når en adgang bliver brugt til langt flere opslag, end den egentlig er beregnet til. Det kan eksempelvis betyde, at nogen søger på et stort antal CPR-numre og får vist de tilhørende personoplysninger.
- Det farlige her er ikke de avancerede hackere. Det er et system, der svarer på det, det bliver spurgt om, igen og igen, gennem en helt almindelig adgang, siger Jeppe Engell, cybersikkerhedsekspert i Dansk Industri.
Ifølge DI blev en eksisterende adgang i den tidligere sag om CPR-læk misbrugt til at foretage millioner af opslag på omkring ti dage. Misbruget blev først opdaget gennem en regning frem for en sikkerhedsalarm.
Kan bruges til svindel
Oplysninger som navne, adresser og CPR-numre kan blandt andet bruges til svindel og falske henvendelser, hvor kriminelle forsøger at narre folk til at udlevere penge eller flere personlige oplysninger.
Styrelsen for Samfundssikkerhed har derfor opfordret både myndigheder og virksomheder til hurtigst muligt at undersøge deres systemer. Dansk Industri anbefaler blandt andet, at virksomheder begrænser, hvor mange opslag en bruger kan foretage, og indfører alarmer ved usædvanlig aktivitet.
Virksomheder bør også lukke gamle adgange, som tidligere ansatte eller samarbejdspartnere ikke længere har brug for.
- Sæt et loft over antallet af opslag, og få en alarm, når nogen nærmer sig det. Det er ikke dyrt, og det kan gøres i denne uge, siger Jeppe Engell.
Advarslen gælder ikke kun systemer med direkte adgang til CPR-registeret, men også almindelige kundesystemer, lønsystemer og digitale selvbetjeningsløsninger.