Ny advarsel til virksomheder: Personoplysninger kan stjæles uden at hackere bryder ind

Det kræver ikke nødvendigvis et avanceret hackerangreb at få adgang til følsomme oplysninger om tusindvis af danskere.

I nogle tilfælde kan en almindelig digital adgang være nok, hvis et it-system tillader, at der bliver foretaget et stort antal opslag uden at reagere.

Det får nu Dansk Industri (DI) til at udsende en advarsel til danske virksomheder.

Erhvervsorganisationen opfordrer virksomheder til hurtigst muligt at undersøge, om deres systemer kan misbruges til systematisk at hente navne, adresser og andre personoplysninger.

Advarslen kommer efter flere sager, hvor uvedkommende har udnyttet eksisterende adgange frem for at bryde ind i systemerne.

En almindelig adgang kan være nok

Ifølge Dansk Industri er det særligt bekymrende, at misbruget kan foregå gennem funktioner, som virksomhederne allerede anvender i deres daglige arbejde.

Det kan eksempelvis være et kundesystem, hvor en medarbejder indtaster et CPR-nummer eller kundenummer og derefter får vist personoplysninger.

Hvis systemet ikke begrænser antallet af opslag, kan den samme adgang i værste fald bruges til at hente oplysninger om meget store grupper af mennesker.

– Det farlige her er ikke de avancerede hackere. Det er et system, der svarer på det, det bliver spurgt om, igen og igen, gennem en helt almindelig adgang. Derfor skal alle virksomheder, hvor man kan slå op på et CPR-nummer, gennemgå deres systemer nu og ikke vente til næste hændelse, siger Jeppe Engell, cybersikkerhedsekspert i Dansk Industri.

Millioner af opslag på omkring ti dage

Baggrunden for advarslen er blandt andet en sag, hvor en eksisterende digital adgang blev misbrugt til at foretage millioner af opslag på omkring ti dage.

Ifølge Dansk Industri blev misbruget først opdaget gennem en regning og ikke via en automatisk sikkerhedsalarm.

Et dansk teleselskab har desuden oplyst, at uvedkommende via en digital systemadgang, et såkaldt API, kan have fået adgang til kunders navne og adresser.

Sagerne viser ifølge DI, at det ikke er tilstrækkeligt at kontrollere, hvem der har adgang til virksomhedens systemer.

Det er også nødvendigt at overvåge, hvordan adgangen bliver brugt.

– Ved CPR-lækket blev misbruget opdaget på en regning, ikke på en alarm. Det skal ikke gentage sig. Sæt et loft over antallet af opslag, og få en alarm, når nogen nærmer sig det. Det er ikke dyrt, og det kan gøres i denne uge, siger Jeppe Engell.

Gælder også mindre og mellemstore virksomheder

Advarslen er ikke kun relevant for store virksomheder med omfattende it-systemer.

Også mindre og mellemstore virksomheder kan have digitale løsninger, hvor medarbejdere eller samarbejdspartnere kan slå personoplysninger op.

Det gælder eksempelvis kunderegistre, lønsystemer, HR-platforme og selvbetjeningsløsninger.

Styrelsen for Samfundssikkerhed (SAMSIK) har i weekenden opfordret både myndigheder og virksomheder til at undersøge risikoen for systematisk indsamling af personoplysninger.

Opfordringen omfatter ikke kun systemer med direkte adgang til CPR-registeret, men alle løsninger, hvor et identifikationsnummer kan bruges til at hente oplysninger om en person.

Det betyder, at virksomheder bør gennemgå både egne systemer og digitale forbindelser til eksterne leverandører.

Stjålne oplysninger kan bruges til svindel

Ifølge Styrelsen for Samfundssikkerhed er truslen fra både cyberkriminalitet og cyberspionage mod Danmark meget høj.

Når uvedkommende får adgang til personoplysninger, kan de blandt andet blive brugt til identitetssvindel, phishing og andre former for bedrageri.

Oplysninger som navne og adresser kan eksempelvis gøre falske beskeder mere troværdige, fordi svindlere kan bruge personlige detaljer til at skabe tillid.

Derfor kan et datalæk få konsekvenser for både virksomheder og de borgere, hvis oplysninger bliver kompromitteret.

Fem ting virksomheder bør gøre nu

Dansk Industri anbefaler på baggrund af myndighedernes advarsel, at virksomhederne tager fem konkrete skridt for at mindske risikoen:

1. Find de udsatte systemer. Undersøg, hvor CPR-numre, kundenumre eller andre identifikationsnumre kan bruges til at hente personoplysninger.
2. Gennemgå adgangene. Luk gamle brugerkonti, begræns medarbejderes og samarbejdspartneres adgang, og benyt to-faktor-godkendelse.
3. Kontrollér logfiler. Hold øje med usædvanligt mange opslag, aktivitet uden for normal arbejdstid og gentagne søgninger.
4. Indfør grænser og alarmer. Begræns antallet af opslag, og sørg for, at mistænkelig aktivitet udløser en advarsel.
5. Placér ansvaret. Aftal på forhånd, hvem der skal reagere, lukke adgange og kontakte myndighederne ved mistanke om misbrug.

Eksterne leverandører skal også kontrolleres

Mange virksomheder benytter eksterne leverandører til drift af hjemmesider, kundesystemer og andre digitale løsninger.

Men ifølge Dansk Industri er det vigtigt, at virksomhederne også har styr på sikkerheden i de systemer, de ikke selv administrerer.

– Hvis en ekstern leverandør driver systemet, bør virksomheden blandt andet spørge, om der er sat grænser for antallet af opslag, om virksomheden får besked ved usædvanlig aktivitet, og hvem der har adgang til oplysningerne, siger Jeppe Engell.

Budskabet fra Dansk Industri er derfor, at virksomhederne ikke bør vente på, at et sikkerhedsbrud rammer dem selv.

De bør allerede nu undersøge, om en helt almindelig adgang til deres it-systemer kan bruges til at hente langt flere personoplysninger, end den er beregnet til.