Et læk af 8,8 millioner CPR-numre er ikke blot endnu et stort databrud. Det er et tegn på, at sikkerheden omkring et af Danmarks mest følsomme registre kan være brudt sammen i flere led på én gang: hos den virksomhed, der havde lovlig adgang, hos leverandøren bag adgangen og hos den myndighed, der skulle overvåge brugen.
Det er den centrale pointe fra sikkerhedsekspert Peter Kruse, tidligere medstifter og direktør i CSIS Security Group. Han kalder ikke nødvendigvis hændelsen for det værste it-brud i Danmarkshistorien, men vurderer den som særdeles alvorlig på grund af datamængden og de mekanismer, der tilsyneladende ikke har stoppet udtrækket i tide.
Et lovligt system blev misbrugt
Ifølge oplysningerne fra Forsknings-, Uddannelses- og Digitaliseringsministeriet er bruddet sandsynligvis sket ved, at uvedkommende misbrugte en dansk virksomheds lovlige adgang til CPR-systemet.
Det er en væsentlig detalje. Der er ikke nødvendigvis tale om, at en angriber har brudt direkte ind i CPR-registret udefra. Angrebet kan i stedet være gået gennem en legitim adgang, som allerede var godkendt til at hente oplysninger om en afgrænset gruppe personer.
CPR-loven giver private virksomheder adgang til oplysninger fra registret, når de har en såkaldt berettiget interesse. Adgangen kan blandt andet baseres på personnummer, fødselsdato eller navn. Det er praktisk nødvendigt for en række virksomheder, men skaber samtidig en sikkerhedsmæssig udfordring: Jo flere eksterne aktører der får adgang til følsomme registre, desto flere steder kan sikkerheden svigte.
Kruse peger på, at hændelsen ligner et såkaldt supply chain-angreb. I den model angribes eller kompromitteres en leverandør eller anden tredjepart, som har legitim forbindelse til det egentlige mål. Angriberen behøver dermed ikke nødvendigvis besejre hovedsystemets forsvar. Det kan være tilstrækkeligt at overtage en betroet adgang i periferien.
API’en er ikke problemet alene
En API – en programmeringsgrænseflade, der lader systemer udveksle data automatisk – er ikke i sig selv en sikkerhedsbrist. Tværtimod er API’er en normal og nødvendig del af moderne digital infrastruktur.
Problemet opstår, hvis adgangen ikke er afgrænset, overvåget og koblet til automatiske stopmekanismer. Et system, der tillader en legitim virksomhed at hente store mængder CPR-data, skal samtidig kunne afgøre, hvornår brugen afviger så markant fra det normale, at adgangen skal blokeres.
Det kan eksempelvis være:
- Et usædvanligt stort antal opslag på kort tid.
- Søgninger, der ikke passer med virksomhedens normale arbejdsopgaver.
- Masseudtræk på tværs af geografiske områder eller befolkningsgrupper.
- Trafik fra nye systemer, brugere eller lokationer.
- Gentagne forespørgsler, der tilsammen giver adgang til et komplet datasæt.
Ifølge Kruses vurdering er det netop her, systemet kan have svigtet. Hvis registret først reagerede, efter at millioner af CPR-numre var hentet, har overvågningen ikke fungeret som en effektiv sikkerhedsbarriere.
To ansvarskæder blev ramt
Sikkerhedseksperten beskriver ansvaret som todelt. Det ene ansvar ligger hos den aktør, der havde den retmæssige adgang til CPR-systemet. Det andet ligger hos den leverandør, der stillede tjenesten eller teknologien til rådighed.
Den sondring er vigtig, fordi digitale angreb sjældent følger organisationsgrænser. En virksomhed kan have etableret adgangskontrol, logning og procedurer, men stadig være sårbar, hvis leverandørens systemer eller medarbejderkonti kompromitteres. Omvendt kan en leverandør have teknisk stærke løsninger, men mangle tilstrækkelig kontrol med, hvordan kunden anvender adgangen.
Når begge parter har forudsat, at den anden part havde styr på risikoen, opstår det klassiske sikkerhedshul: Alle har et ansvar, men ingen reagerer hurtigt nok.
Det er derfor ikke tilstrækkeligt at spørge, hvem der stjal oplysningerne. Undersøgelsen bør også afdække:
- Hvem godkendte adgangen?
- Hvilke begrænsninger var indbygget i API’en?
- Hvilke mængder data måtte virksomheden hente?
- Hvem overvågede udtrækkene?
- Hvilke alarmer blev udløst?
- Hvornår blev de første tegn opdaget?
- Hvorfor blev adgangen ikke lukket tidligere?
CPR-nummeret er en adgangsnøgle
Et CPR-nummer er ikke nødvendigvis værdifuldt som isoleret datasæt. Det kan ikke i sig selv bruges som adgangskode, og det giver ikke automatisk adgang til en borgers bankkonto.
Men det er netop en farlig misforståelse at betragte CPR-nummeret som ufarligt, fordi det ikke alene kan gennemføre et angreb. Nummeret fungerer ofte som et centralt identifikationspunkt i kontakten mellem borgere, banker, pensionsselskaber, forsikringsselskaber, teleselskaber og offentlige myndigheder.
Når en kriminel allerede kender CPR-nummeret, kan det gøre det lettere at fremstå troværdig over for en organisation eller en borger. Nummeret kan bruges som ét element i en social engineering-kæde, hvor angriberen kombinerer det med andre oplysninger for at overbevise offeret om, at henvendelsen er legitim.
Det kan eksempelvis ske i forbindelse med:
- Målrettede phishingbeskeder.
- Telefonsvindel, hvor angriberen udgiver sig for at være fra en bank eller myndighed.
- Oprettelse eller ændring af betalingsaftaler.
- Tegning af visse abonnementer.
- Forsøg på identitetstyveri.
- Misbrug af kundeservice, hvor CPR-nummeret bruges til at bestå en identitetskontrol.
CPR-nummeret er med andre ord ikke nødvendigvis selve nøglen. Det er ofte den oplysning, der får en anden sikkerhedskontrol til at virke overbevisende.
Skaden kan ikke trækkes tilbage
Når CPR-numre først er blevet kopieret, kan de ikke tilbagekaldes på samme måde som et betalingskort eller en adgangskode. Et kort kan spærres. En adgangskode kan ændres. Et CPR-nummer følger derimod borgeren gennem livet.
Det ændrer karakteren af hændelsen. Et databrud er ikke afsluttet, blot fordi adgangen til systemet er lukket. Den aktuelle adgang kan stoppes, men oplysningerne kan allerede være kopieret, videresolgt eller kombineret med data fra andre læk.
Kruses vurdering er derfor, at de lækkede data må betragtes som tabt. Den mest akutte opgave er at standse yderligere udtræk, men selve eksponeringen kan ikke rulles tilbage.
Det betyder også, at sikkerheden fremover skal flytte sig fra alene at beskytte databasen til i højere grad at beskytte borgerne mod konsekvenserne. Organisationer, der bruger CPR-numre i identitetskontrol, bør derfor ikke behandle nummeret som en tilstrækkelig bekræftelse af, hvem der står på den anden side.
Den afgørende test bliver overvågningen
Den vigtigste efterfølgende undersøgelse handler ikke kun om, hvordan en uvedkommende fik adgang. Den handler om, hvorfor systemet tillod så omfattende et udtræk.
Et robust sikkerhedssetup skal kunne skelne mellem legitim massebehandling og mistænkelig masseindsamling. Det kræver detaljeret logning, adfærdsanalyse, begrænsninger på forespørgsler og en klar procedure for øjeblikkelig blokering.
Tekniske kontroller skal blandt andet kunne svare på:
- Hvad er normal adfærd for hver enkelt adgang?
- Hvor store datamængder kan hentes inden for et bestemt tidsrum?
- Skal særligt omfattende forespørgsler godkendes manuelt?
- Kan adgangen automatisk sættes på pause ved afvigelser?
- Er alarmer bemandet døgnet rundt?
- Bliver leverandørernes egne underleverandører kontrolleret?
- Kan alle opslag efterfølgende dokumenteres og forklares?
Det er ikke nok at have logfiler, hvis ingen reagerer på dem. Overvågning uden handling er i praksis blot registrering af et angreb, mens det foregår.
Et systemproblem, ikke kun en menneskelig fejl
Den offentlige debat efter store databrud ender ofte med jagten på den konkrete gerningsmand eller den medarbejder, der begik en fejl. Det er forståeligt, men utilstrækkeligt.
Hvis én kompromitteret leverandør kan føre til udtræk af millioner af CPR-numre, er problemet også arkitektonisk. Systemet har i så fald været designet med en tillidsmodel, hvor en legitim adgang kan få større rækkevidde, end sikkerheden kan håndtere.
Den mere grundlæggende diskussion er derfor, om det overhovedet bør være muligt for én adgang, én leverandør eller én kompromitteret konto at trække så store mængder af samfundets mest følsomme identitetsdata.
Masseudtræk bør som udgangspunkt mødes af flere uafhængige barrierer. Det kan være tekniske begrænsninger, løbende kontrol, særskilt godkendelse og automatisk lukning ved mistænkelig adfærd. Hvis én barriere svigter, skal de næste stadig kunne begrænse skaden.
Tillidsmodellen er under pres
CPR-systemet bygger på, at virksomheder med et legitimt behov kan få adgang til korrekte personoplysninger. Den model er afgørende for en digital økonomi, men den kræver, at tillid aldrig står alene.
Når en ekstern aktør får adgang til et centralt register, må adgangen behandles som en potentiel angrebsvej – også selv om virksomheden i udgangspunktet er lovlig, identificeret og godkendt. En godkendt aktør kan få stjålet sine legitimationsoplysninger. En leverandør kan blive kompromitteret. En intern proces kan være forkert konfigureret. Og en alarm kan blive overset.
Det alvorlige ved det aktuelle læk er derfor ikke kun antallet af berørte borgere. Det er også, at hændelsen rejser tvivl om, hvorvidt systemet var bygget til at opdage og begrænse netop den type misbrug, som de mange kontrolmekanismer burde forhindre.
Den afgørende læring bliver ikke, at virksomheder skal være bedre til at beskytte adgangskoder. Den bliver, om myndigheder og leverandører vil acceptere, at sikkerhed omkring CPR-data skal fungere efter princippet om mindst mulig adgang, mindst mulig datamængde og hurtigst mulig afbrydelse.
For 8,8 millioner CPR-numre er det ikke længere nok at spørge, hvem der havde adgang. Det afgørende spørgsmål er, hvorfor adgangen kunne bruges så længe og så bredt, uden at systemet satte håndbremsen i.
