Ny alvorlig advarsel: Dine personoplysninger kan være i fare – uden at nogen hacker sig ind

Danske virksomheder bør hurtigst muligt undersøge, om deres it-systemer kan misbruges til at hente store mængder personoplysninger.

Sådan lyder en alvorlig advarsel fra Dansk Industri (DI), der søndag den 25. oktober opfordrer virksomheder over hele landet til at tage truslen alvorligt.

Advarslen kommer efter nye sager, hvor uvedkommende har udnyttet eksisterende digitale adgange til at hente personoplysninger.

Det betyder, at virksomheder kan være udsatte, selv om deres systemer ikke er blevet hacket på traditionel vis.

Almindelig adgang kan misbruges

Ifølge Dansk Industri handler truslen især om systemer, hvor man ved hjælp af et CPR-nummer, kundenummer eller et andet identifikationsnummer kan finde oplysninger om personer.

Det kan eksempelvis være kundesystemer, selvbetjeningsløsninger, lønsystemer og digitale forbindelser til samarbejdspartnere.

– Det farlige her er ikke de avancerede hackere. Det er et system, der svarer på det, det bliver spurgt om, igen og igen, gennem en helt almindelig adgang. Derfor skal alle virksomheder, hvor man kan slå op på et CPR-nummer, gennemgå deres systemer nu og ikke vente til næste hændelse, siger Jeppe Engell, cybersikkerhedsekspert i Dansk Industri.

Problemet er, at en adgang, der oprindeligt er oprettet til et lovligt formål, kan blive brugt til at foretage et usædvanligt stort antal opslag.

Dermed kan uvedkommende potentielt hente omfattende mængder personoplysninger, uden at systemet nødvendigvis registrerer aktiviteten som et hackerangreb.

Millioner af opslag på omkring ti dage

Dansk Industri henviser blandt andet til et CPR-læk, hvor en eksisterende adgang blev brugt til at foretage millioner af opslag på omkring ti dage.

Et dansk teleselskab har desuden oplyst, at uvedkommende via en digital adgang kan have fået adgang til kunders navne og adresser.

Ifølge Dansk Industri understreger sagerne behovet for, at virksomheder ikke blot kontrollerer, hvem der har adgang til oplysningerne, men også hvordan adgangen bliver brugt.

– Ved CPR-lækket blev misbruget opdaget på en regning, ikke på en alarm. Det skal ikke gentage sig. Sæt et loft over antallet af opslag, og få en alarm, når nogen nærmer sig det. Det er ikke dyrt, og det kan gøres i denne uge, siger Jeppe Engell.

Fem råd til virksomhederne

Styrelsen for Samfundssikkerhed har i weekenden opfordret både myndigheder og virksomheder til at undersøge og begrænse risikoen for systematisk indsamling af personoplysninger.

På den baggrund anbefaler Dansk Industri fem konkrete tiltag:

1. 1. Få overblik over systemerne: Undersøg, hvor CPR-numre og andre identifikationsnumre kan bruges til at hente personoplysninger.
2. 
   2. Begræns adgangen: Luk unødvendige brugerkonti, og sørg for, at medarbejdere og samarbejdspartnere kun har adgang til nødvendige oplysninger.
3. 
   3. Kontrollér aktiviteten: Gennemgå systemernes registreringer for usædvanligt mange opslag eller aktivitet uden for normal arbejdstid.
4. 
   4. Indfør alarmer: Begræns antallet af opslag, og sørg for advarsler ved mistænkelig aktivitet.
5. 
   5. Placér ansvaret: Aftal på forhånd, hvem der skal reagere, hvis en adgang bliver misbrugt.

Personoplysninger kan bruges til svindel

Advarslen kommer på et tidspunkt, hvor Styrelsen for Samfundssikkerhed vurderer truslen fra både cyberkriminalitet og cyberspionage mod Danmark som meget høj.

Personoplysninger som navne, adresser og CPR-numre kan blandt andet misbruges til svindel, falsk identifikation og phishing, hvor kriminelle forsøger at lokke følsomme oplysninger fra borgere.

Derfor kan et datalæk også få konsekvenser for virksomheder, som ikke selv har været udsat for et hackerangreb.

Dansk Industri understreger samtidig, at virksomheder, der benytter eksterne it-leverandører, bør undersøge, hvilke sikkerhedsforanstaltninger leverandørerne har indført.

Det gælder blandt andet begrænsninger på antallet af opslag, advarsler ved usædvanlig aktivitet og kontrol med, hvem der kan tilgå oplysningerne.

Budskabet fra Dansk Industri er klart: Virksomhederne bør gennemgå deres digitale adgange nu frem for at vente, til endnu et misbrug bliver opdaget.