Når en enkelt svag kilde i forsyningskæden kompromitteres, kan konsekvenserne for en hel nation være enorme. Det største CPR-datalæk i Danmarks historie har rystet både myndigheder og erhvervsliv: En uautoriseret aktør benyttede loginoplysninger fra en mindre privat virksomhed med legitim adgang til CPR-registret til systematisk at udtrække navne, adresser og CPR-numre på op mod 8,8 millioner poster.
Sagen efterforskes i øjeblikket af Datatilsynet og Politiet, mens opfølgende rapporteringer peger på fundamentale svagheder som svage adgangskoder, manglende tofaktor-godkendelse (MFA) og utilstrækkelig overvågning af adfærdsmønstre.
For danske virksomheder udgør hændelsen en alvorlig påmindelse: Din IT-sikkerhed er aldrig stærkere end det svageste led i din leverandørkæde. Hos Dominant gennemgår vi her de vigtigste tekniske og organisatoriske læringspunkter samt de tiltag, der kræves for at sikre din virksomheds følsomme data fremadrettet.
Mange organisationer investerer massivt i deres egen perimetersikkerhed – firewalls, endpoint-beskyttelse og interne rettighedsstrukturer. Men når eksterne samarbejdspartnere, underleverandører eller rådgivere tildeles direkte adgang til interne systemer eller databaser, udvides angrebsfladen markant.
I det aktuelle CPR-læk var årsagen ikke et direkte hack mod det centrale statslige register, men et udnyttet login hos en ekstern aktør med lovlig adgang. Dette fænomen kaldes i IT-sikkerhedskredse for et Supply Chain Attack eller et angreb via tredjepartsadgang.
Generiske eller delte logins: Flere medarbejdere benytter samme brugerkonto til eksterne datakilder.
Manglende krav om MFA: Eksterne partnere kan tilgå kritiske data med kun brugernavn og adgangskode.
Statisk rettighedstildeling: Adgange gælder ubegrænset i stedet for at tilpasses specifikke opgaver (Least Privilege-princippet).
Manglende adfærdsbaseret overvågning: Systemet opdager ikke, når en enkelt konto pludselig foretager unormalt mange opslag på kort tid (massiv dataudtrækning).
Den traditionelle sikkerhedsmodel mod “de onde udenfor og de gode indenfor” er forældet. I et moderne digitalt økosystem skal virksomheder tilpasse sig en Zero Trust-tilgang (Never Trust, Always Verify).
For at undgå at en kompromitteret partnerkonto kan forårsage katastrofale datalæk, bør infrastrukturen opbygges omkring tre kerneelementer:
Enhver anmodning om data skal verificeres baseret på brugerens identitet, placering, enhedens tilstand og adfærd. Selv om en leverandør har gyldige legitimationsoplysninger, skal uregelmæssigheder (f.eks. login fra en uventet IP-adresse eller på skæve tidspunkter) straks blokeres.
En ekstern partner bør kun have adgang til de præcise datapunkter, der er nødvendige for at udføre en specifik opgave. Automatisk masseudtrækning skal begrænses via strict rate limiting (grænser for antal forespørgsler pr. minut/time).
Anvendelse af SIEM-løsninger (Security Information and Event Management) gør det muligt at overvåge datatrafik i realtid. Hvis en brugerkonto begynder at hente tusindvis af optegnelser igennem en API eller en webportal, skal systemet automatisk lukke for forbindelsen og alarmere sikkerhedsteamet.
Datalæk af denne kaliber medfører ikke blot operationelle udfordringer, men også alvorlige juridiske og økonomiske konsekvenser under GDPR (Databeskyttelsesforordningen).
Når følsomme personoplysninger som CPR-numre og adresser kompromitteres, stilles der skarpt på:
Artikel 32 (Sikkerhed i forbindelse med behandlingen): Krav om passende tekniske og organisatoriske foranstaltninger, herunder kryptering, pseudonymisering og løbende test af sikkerhedseffektivitet.
Databehandleraftaler (DPA): Virksomheder skal sikre, at alle underleverandører overholder samme strenge sikkerhedsstandarder, som virksomheden selv er underlagt.
Underretningspligt: Datalæk skal anmeldes til Datatilsynet inden for 72 timer, og de berørte borgere/kunder skal i mange tilfælde underrettes direkte.
Bødeniveauet for manglende tekniske foranstaltninger kan nå op på 20 millioner euro eller 4 % af virksomhedens globale årsomsætning.
For at forebygge at din virksomhed bliver det næste led i en sikkerhedshændelse, bør IT-ledelsen straks gennemgå følgende tjekliste:
Auditering af eksterne adgange: Kortlæg alle leverandører, konsulenter og API-forbindelser med adgang til virksomhedens interne systemer.
Gennemtving Multifaktor-godkendelse (MFA): Gør MFA obligatorisk for samtlige brugere uden undtagelse.
Implementer Rate Limiting: Sæt tekniske spærringer for, hvor mange datatjenester eller oplysninger en enkelt bruger kan tilgå pr. tidsenhed.
Stram op på adgangskodepolitikker: Forbyd genbrug af adgangskoder og benyt centraliserede Single Sign-On (SSO) løsninger med stærk politik.
Realtidsovervågning og AI-detektering: Etabler automatiske advarsler ved brat stigning i datadownload eller uregelmæssig kontoaktivitet.
Regelmæssige penetrations- og sårbarhedstest: Test ikke kun egen infrastruktur, men evaluer også leverandørers sikkerhedsniveau (Vendor Risk Assessment).
Sagen om det omfattende danske CPR-datalæk er en skarp advarsel om, at basal IT-hygiejne og stram adgangskontrol er helt afgørende i et fuldt digitaliseret samfund. Tillid til eksterne partnere skal suppleres med tekniske kontrolmekanismer, streng logning og løbende sikkerhedsaudits.
Hos Dominant hjælper vi virksomheder med at opbygge robuste digitaliseringsstrategier, optimere IT-strukturer og sikre, at både interne processer og leverandørsamspil lever op til de nyeste sikkerhedskrav og GDPR-standarder.
Ønsker du at gennemgå din virksomheds IT-infrastruktur og reducere risici i leverandørkæden? Kontakt Dominant i dag for en uforpligtende rådgivning om datasikkerhed og digital risikostyring.
Kilder:
– https://danishdispatch.dk/largest-data-breach-in-danish-history-what-we-know-and-what-we-dont/
– https://nyheder.tv2.dk/live/samfund/2026-10-05-uvedkommende-har-faaet-adgang-til-88-millioner-cpr-numre
– https://ing.dk/artikel/88-millioner-cpr-numre-kompromitteret
– https://politiken.dk/danmark/art11014257/Hacker-deler-87-millioner-cpr-oplysninger-med-Politiken-Angrebsmetoden-ryster-eksperter
– https://www.sikkerdigital.dk/borger/digital-svindel/uvedkommende-har-faaet-adgang-til-borgeres-cpr-oplysninger-saadan-skal-du-forholde-dig
