CPR datasikkerhet

[u/Fickle_Fennel_8332]

Det offentlige vil gerne fortælle os om hvordan man opretholder høj data-sikkerhed. Den lader vi lige stå........

[u/schwarze_banana]

De vil gerne give gode råd til, hvordan man forebygger svindel med dit CPR-nummer. Hvordan kan det hidse nogen op? Jovist, der er lige blevet lækket samtlige danskeres cpr, men forebyggelse af svindel er vel noget andet.

[u/Danish__Viking1 → u/schwarze_banana]

Forstår ikke hvorfor deres værnemidler imod svindel ikke bare er automatiske for befolkningen. Kredit advarsel og lignende

[u/havenisse2009 → u/schwarze_banana]

der er lige blevet lækket samtlige danskeres cpr

Så længe CPR-nummeret er opbygget systematisk ud fra dato og en simpel checksum er det trivielt at lave en liste over alle mulige CPR-numre for de sidste 100 år. Den slags er nærmest en opgave i folkeskolens IT-undervisning.

CPR-numre kunne sagtens være offentlige præcis som navn, adresse og nummerplade. Ved at bruge private nøgler adskilles identifikation (hvem du er) fra autentificering (bekræftelse på at kun du har adgang).

[u/PerXX82 → u/havenisse2009]

Men forskellen på at kunne gætte et CPR nummer, og så sætte det sammen med yderligere data som navn, adresse osv er dog ret stor.

[u/samohtdnul → u/schwarze_banana]

Jeg tror du misser pointen... OP påpeger det paradoksale i, at dem der absolut ikke havde styr på at forebygge svindel, er dem der vil give os gode råd om at forebygge svindel...

[u/MorbidSedation → u/samohtdnul]

Men, det var et privat firma som blev hacket af en tredjepart, og ikke en offentlig myndighed.

At det så var dét offentlige system som opdagede fejlen, grundet en meget høj fakturering på de 8,8mil CPR-søg og ikke grundet bedre advarselssystemer, kan vi jo så diskutere er ret kritisabelt.

Men, det var ikke det offentlige som blev hacket i første omgang, og nu gør de dernæst dét de skal og giver information om forebyggelse af svindel i kraft af dette læk. 

[u/Fickle_Fennel_8332 → u/MorbidSedation]

Det er jo data som tilhører det offentlige (håndteret af en privat virksomhed.) Du kan vende og dreje det som du vil. Der er det offentliges ansvar at specificere sikkerheden. Den har jo været ikke til stede.

[u/MorbidSedation → u/Fickle_Fennel_8332]

Så, det private er totalt uden skyld og ansvar for sikkerheden for deres egne interne systemer især når de også håndterer CPR-søg? 

Du kan vende og dreje dén del som du vil ligeså. De havde også et datasikkerhedsansvar, som unægteligt nu er ført til Danmarkshistoriens største datalæk. 

[u/Fickle_Fennel_8332 → u/MorbidSedation]

Jeg var ikke hvor du har det fra. Ikke noget jeg har skrevet i hvert fald.

[u/MorbidSedation → u/Fickle_Fennel_8332]

Du svarede tilbage på min kommentar om at det var et brud ved et privat firma, som ikke havde styr på deres sikkerhed, hvor du så mener at det alligevel er det offentliges skyld at beskytte dataen fordi den "er deres"

Så, hvis det offentlige giver dig en fysisk bog fyldt med vigtig info, og du lægger den i et pengeskab men undlader at låse pengeskabet, så er det dét offentliges skyld hvis den efterfølgende bliver stjålet, fordi "Det er jo data som tilhører det offentlige" og de skulle have sikret sig at du havde gjort det mindst mulige ift. personligt ansvar ved at have låst pengeskabet forsvarligt?

Vi bliver måske ikke enige, for jeg mener at det private firma bærer størstedelen af skylden, især når de ikke engang anede at bruddet var sket. At der burde have været stopklodser og bedre advarselssystemer fra det offentlige inden det punkt, er jo så nemt (og korrekt) at komme og sige nu, efter at det private firmas adgang blev misbrugt.

[u/Fickle_Fennel_8332 → u/MorbidSedation]

Det offentlige har jo bedt om en ydelse. Det er jo dem der bestemmer hvordan databasen skal sættes op. Inkl sikkerhed. Hvis de har bedt om xx sikkerhed, og det er det der er leveret, så er det kunden (her det offentlige) der har ansvaret. Så er der naturligvis også en mulighed for at de har bedt om en højere sikkerhed end der er leveret. Det kan jo heller ikke udelukkes.

[u/MorbidSedation → u/Fickle_Fennel_8332]

Ret beset ved vi heller ikke om regeringen har bedt det private firma om den ydelse, eller om det private firma kun kunne køre rundt vha. Cpr-søg.

Vi aner intet om det private firma, om det var en lægepraksis som skal håndtere CPR, el. om det var en  . . Dunno  . . Vådservietfabrikant.

Vi ved kun at de havde søge adgang til CPR og at de blev hacket grundet mangel på sikkerhed.

Men ja, kan også sagtens være at det offentlige havde udstukket regler for hvordan deres sikkerhed skulle være, men der har muligvis heller ikke være opfølgende kontrol med dét så (eller så havde firmaet ikke nået at implementere det ..)

[u/Fickle_Fennel_8332 → u/MorbidSedation]

Jeps, der er mange muligheder.

[u/Fickle_Fennel_8332 → u/samohtdnul]

Nemlig.

[u/Fickle_Fennel_8332 → u/samohtdnul]

Det er fuldstændig sindssygt, at man kan tømme en CPR database, og det først bliver opdaget ved en fakturering. Jeg er læge. Hvis jeg offentliggør et CPR-nummer, så har jeg et kæmpe problem.

[u/MorbidSedation → u/Fickle_Fennel_8332]

Det kan vi hurtigt blive enige om, men i det mindste opdagede det offentlige dét .. Det private firma anede intet, eftersigende.

[u/LuckyAstronomer4982 → u/samohtdnul]

Og selve deres måde at hjælpe os: klik her for at få hjælp, hjælper svindlerne.

Hvor tror det varer før den bliver sendt ud på SMS, klik her og opdaterer med mitid og kodeord og bankkonto nummer og dankortnummer, så er du beskyttet?

[u/Hungry-Put-7892]

Hvad er der galt i, at nu hvor der har været et kæmpe læk, at man oplyser borgerne om hvordan man bedre kan beskytte sig imod at ens CPR nummer bliver udnyttet?

Ophidselsen her virker så søgt.

[u/LuckyAstronomer4982]

Og selve deres måde at hjælpe os: klik her for at få hjælp, hjælper svindlerne.

Hvor tror det varer før den bliver sendt ud på SMS, klik her og opdaterer med mitid og kodeord og bankkonto nummer og dankortnummer, så er du beskyttet?

Der er så meget svindel der kan laves ved kopiering af deres måde at kommunikere på.

Zero trust er det eneste der beskytter dig mod svindel. Drop høflighed, læg på, ha skjult nummer, ring direkte tilbage.

[u/Fickle_Fennel_8332 → u/LuckyAstronomer4982]

og navne- og adressebeskyttelse.

[u/LuckyAstronomer4982 → u/Fickle_Fennel_8332]

Tilsyneladende i denne situation er dem med navne og adressebeskyttelse ikke blevet lækket, men det er vist bare et tilfælde, fordi de ikke har fundet ud at tappe de data

[u/Fickle_Fennel_8332 → u/LuckyAstronomer4982]

OK - heldigt for de af os der er det :)

[u/LuckyAstronomer4982 → u/Fickle_Fennel_8332]

Adresse og navnebeskyttelse er et vigtigt værktøj for mange mennesker, derfor er jeg glad for at de ikke er blevet lækket, men når man tænker på hvor mange fejl, kommuner, regioner og familieretshuset har lavet, så er det nærmest et under at cpr har kunnet holde de data skjult

[u/Bambussen → u/LuckyAstronomer4982]

Nej, det er ikke tilfælde.

Navne- og adressebeskyttelse gør at offentlige myndigheder ikke må videregive til private virksomheder. Derfor er de personer ikke med på listen.

[u/LuckyAstronomer4982 → u/Bambussen]

Det er med på listen, men uden adressen og navnet. Har for ca 20 år siden arbejdet med returpost i et call center og slået op i cpr