Dansk CPR-dataläckage: Hackare säger att lösenordet ”123456” gav åtkomst till 8,7 miljoner nummer

En anonym hackare som uppger sig ligga bakom det omfattande dataintrånget med miljontals danska personnummer uppges ha fått åtkomst med hjälp av lösenordet ”123456”. Det skriver den danska tidningen Politiken, som har granskat uppgifterna.

Enligt tidningen ska hackaren själv ha berättat att den svaga inloggningsuppgiften var nyckeln in i systemet. Uppgifterna har ännu inte bekräftats av danska myndigheter, men fallet väcker nya frågor om säkerheten kring de mest känsliga personuppgifterna i Danmark.

Det danska CPR-numret motsvarar det svenska personnumret och används inom allt från sjukvård och banker till myndighetskontakter och digitala tjänster. Ett läckage av den omfattningen kan i praktiken innebära att stora mängder medborgare riskerar identitetsstöld, bedrägerier och andra former av missbruk.

Politiken skriver att hackaren ska ha haft tillgång till namn, adresser, personnummer och i vissa fall andra känsliga uppgifter kopplade till danska medborgare. Exakt vilka system som har varit utsatta framgår inte tydligt ännu, men uppgifterna bedöms vara av sådan karaktär att de kan användas för att utföra avancerade bedrägerier mot både privatpersoner och företag.

Danmark är ett av världens mest digitaliserade länder. Nästan all offentlig service, sjukvårdskontakter och bankärenden sker digitalt. Det gör också att konsekvenserna av ett intrång blir betydligt större än i länder där en större del av samhällsservicen fortfarande sker analogt. Samtidigt innebär den höga graden av digitalisering att förtroendet för systemen är avgörande. När uppgifter om miljontals medborgare läcker ut, påverkas inte bara de drabbade individerna utan också tilltron till de digitala plattformar som samhället vilar på.

Det faktum att ett så svagt lösenord ska ha gett en angripare åtkomst till samhällskritisk information väcker också frågor om hur myndigheter och företag hanterar sina egna system. Säkerhetsexperter har länge varnat för att lösenord som ”123456” och ”password” fortfarande är vanliga bland både privatpersoner och anställda. Trots att de flesta användare vet att sådana lösenord är osäkra, återanvänds de ofta på flera tjänster och system, vilket gör att en enda svag länk kan få stora konsekvenser.

Den typen av intrång brukar i säkerhetsbranschen kallas för enkel men effektiv. Angriparen behöver inte sällan avancerade verktyg eller djup teknisk kunskap. Istället utnyttjar man mänskliga misstag och bristande rutiner. I många fall handlar det om konton med administratörsrättigheter eller tjänstekonton som inte skyddas av flerfaktorsautentisering. När en sådan åtkomst väl har uppnåtts kan angriparen röra sig fritt inom systemen under lång tid utan att upptäckas.

Händelsen väntas få politiska konsekvenser i Danmark. Flera partier har redan begärt svar från regeringen och ansvariga myndigheter. Enligt uppgifter i danska medier pågår nu en teknisk utredning för att fastställa hur intrånget gick till, vilka system som berörts och hur länge hackaren haft tillgång till uppgifterna. Det är ännu oklart om brottet har kunnat knytas till en viss aktör, men danska säkerhetstjänster har under flera år varnat för att både främmande stater och kriminella nätverk försöker få tillgång till dansk infrastruktur.

Inom EU gäller sedan flera år tillbaka den så kallade dataskyddsförordningen, GDPR. Enligt regelverket ska personuppgiftsincidenter rapporteras till tillsynsmyndigheten inom 72 timmar. Myndigheter och företag som inte har tillräckliga tekniska och organisatoriska åtgärder riskerar kännbara böter. Det innebär att det danska intrånget också kan få ekonomiska följder för de aktörer som visat sig ha bristande säkerhet.

Cybersäkerhet har under de senaste åren blivit en allt viktigare fråga för både den offentliga sektorn och näringslivet i hela Norden. Flera stora attacker mot sjukvård, kommuner och energiföretag har visat att ingen verksamhet är immun. I kölvattnet av sådana händelser ökar efterfrågan på tekniska lösningar som flerfaktorsautentisering, avancerad hotdetektering och utbildning av personal. Men experter påpekar att teknik inte räcker. Grundläggande rutiner, som att byta svaga lösenord och begränsa åtkomsträttigheter, är fortfarande det viktigaste skyddet.

För vanliga danska medborgare innebär det pågående intrånget en påminnelse om att de personuppgifter som samlas in av staten och företag inte alltid är lika skyddade som man kan tro. Politiken har rapporterat att hackaren uppgett att uppgifterna inte har sålts vidare, men sådana löften är svåra att verifiera. Redan nu uppmanar danska myndigheter människor att vara extra uppmärksamma på misstänkta meddelanden, oväntade fakturor eller försök till kontakt från personer som utger sig för att vara från banker eller myndigheter.

Intrånget kan bli ett av de allvarligaste i Danmarks historia, både i fråga om omfattning och påverkan på samhällets förtroende. Att en så känslig mängd uppgifter ska ha skyddats av lösenordet ”123456” är i så fall ett tydligt tecken på att det fortfarande finns stora brister i hur digitala system skyddas – även i ett av världens mest digitaliserade länder.