Held må ikke være en strategi
Borgernes data fosser ud af myndighedernes databaser. Hvis det ikke for alvor skal gå ud over tilliden i samfundet, bliver vi nødt til at få styr på den digitale sikkerhed. Samtidig bør vi overveje at trække stikket på nogle af de digitale servicer.
Dette er en kommentar: Jyllands-Posten har et fast korps af personer, der kommenterer vores samfund. Kommentaren er udtryk for skribentens egen holdning.
I sidste uge var det 8,8 mio. nulevende og afdøde danskeres personnumre og adresser, som blev hentet via en dårligt beskyttet adgang til Det Centrale Personregister (CPR) hos en privat virksomhed, som ellers reklamerede med at have datasikkerhed i højsædet.
Styrelsen for Samfundssikkerhed oplyste i den forbindelse, at sådanne personoplysninger »kan misbruges i forbindelse med svindel«, hvorfor myndigheder og borgere opfordredes til at udvise agtpågivenhed.
Onsdag sendte Domstolsstyrelsen så en pressemeddelelse ud om, at man i uge 41 oplevede ekstraordinært mange besøgende i det digitale tinglysningssystem. Over 17 mio. opslag i oplysninger om ejerforhold vedrørende fast ejendom, andelsboliger og køretøjer blev registreret i en periode, hvor man sædvanligvis ville have under 2 mio. forespørgsler.
Myndigheden understregede, at der var tale om frit tilgængelige informationer, hvorfor der i udgangspunktet ikke var sket noget ulovligt. Alligevel gav de mange søgninger anledning til særlig opmærksomhed, bl.a. »fordi det ikke kan udelukkes, at oplysningerne kan misbruges til at øge troværdigheden i forbindelse med forsøg på kontaktsvindel«.
Der er p.t. ingen udmeldinger om, hvorvidt de to cyberhændelser er relaterede, men selv hvis det ikke er samme gerningsperson, som står bag cpr-lækket og de mange søgninger i tinglysningssystemet, vidner sammenfaldet om et presserende problem i vores gennemdigitaliserede danske samfund.
Gennem de seneste årtier har vi lagt stort set alle servicer på nettet, hvilket er nemt og bekvemt for borgere og myndigheder, som let kan logge ind hjemmefra og ordne alt fra tinglysning af en hushandel til registrering af dybt personlige forhold omkring økonomi, sociale ydelser og navne- og adresseændringer.
Dermed har vi samtidig gjort det muligt for ondsindede aktører at få adgang til potentielt enorme datamængder ved nogle få og relativt simple klik på nettet. Når 8,8 mio. danskeres personnumre kan tilgås ved at knække koden »123456«, og det samtidig er muligt at søge 17,2 mio. gange i tinglysningen på få dage, uden at systemet blokerer det, så er vores data simpelthen ikke beskyttet godt nok.
Var det bedre i gamle dage? I hvert fald var alting mere bøvlet, og alene deri lå der en form for sikkerhed, som ikke længere findes. Ville man kigge i alle danskeres post, var det nødvendigt at slå samtlige postbude ned og stjæle brevene fra deres lædertasker. I dag er det tilstrækkeligt at trænge ind i vores digitale postkasser, og til det formål er det formentligt nyttigt at sidde med den store liste over cpr-numre.
Og var man ude efter millioner af oplysninger fra tinglysningen, skulle man fysisk ind på støvede kontorer og slå op i endeløse rækker af ringbind, mens en lille emsig notarius publicus sad og kiggede én over skulderen. I dag kan det hele klares med en internetforbindelse, lidt digital fingerfærdighed og – hvilket er den store gamechanger i disse år – assistance fra kunstig intelligens, som gør det langt billigere og hurtigere at udfærdige søgninger i databaser og scripts til download af enorme datamængder.
Cpr-hackeren har angiveligt henvendt sig til Politiken og i et bemærkelsesværdigt interview over en krypteret beskedtjeneste redegjort for sine handlinger. Det virker umiddelbart, som om vedkommende ikke havde en intention om at misbruge de mange personoplysninger, selv om der i udgangspunktet tilsyneladende ikke var tale om egentlig ”etisk hacking”.
Står oplysningerne til troende, er hackeren åbenbart blevet oprigtigt overrasket og forarget over, hvor let det var at downloade den enorme datamængde. Kan man tillade sig at håbe, at det er samme gerningsperson, som i uge 41 besøgte tinglysningssystemet 17,2 mio. gange?
Det ville tidsmæssigt passe med perioden fra tidspunktet, hvor cpr-hacket stoppede, til det blev opdaget ved et tilfælde, da den berørte virksomhed modtog en ualmindeligt stor faktura for de mange opslag i registeret. Hvilket svineheld ville det ikke være.
Under covid-19 forlød det fra Statsministeriets departementschef, at »håb ikke er en strategi«. I dag kan vi tilføje, at held heller ikke bør være det.
Danskernes datasikkerhed må simpelthen ikke afhænge af, om ubudne gæster i vores følsomme systemer vælger at sende vores personlige oplysninger til et medie i stedet for at sælge dem til højstbydende på det mørke net. Der var ingen overvågning på adgangen til cpr-numrene, hvorfor hackerangrebet først blev opdaget ved faktureringen.
Domstolsstyrelsen oplyser, at der på bagkant nu er »sat yderligere foranstaltninger i værk for at begrænse forespørgsler i et omfang, som skaber forstyrrelser«. Men det ændrer jo ikke ved, at sket er sket. You can’t unring a bell.
Statsministeren sagde i sin åbningstale til Folketinget, at det »har et skær af naivitet over sig« at efterspørge beviser på russiske hybridangreb.
Problemet er, at den generelle tillid fra befolkningen til myndighederne, som her efterspørges, ikke kan omveksles én til én fra et forværret trusselsbillede til blind tillid, men derimod optjenes i det lange, seje stræk over en bred kam. Hvordan og hvorfor skal danskerne fortsætte med at have høj grad af tillid til en stat, som ikke er i stand til at passe på vores personlige oplysninger?
Hvorfor er der ikke en ansvarlig myndighed, som med rettidig omhu har sørget for, at man ikke kan downloade 8,8 mio. cpr-numre, uden at der skal en kæmpefaktura til, før det opdages?
Jeg solgte for nylig mit hus i Esbjerg for at flytte til Roskilde. Det var fantastisk nemt og bekvemt at kunne logge ind og ordne tinglysningen online i stedet for at skulle ned til førnævnte notarius publicus for at få et stempel og en underskrift.
Men vi er nødt til at erkende, at hver gang vi glæder os over at kunne tilgå et system med følsomme, personlige oplysninger hjemmefra, så kan andre i teorien også gøre det. Held må ikke være Danmarks cybersikkerhedsstrategi. Tiden er inde til, at der for alvor kommer styr på den digitale sikkerhed – og vi skal samtidig overveje, om stikket måske skal trækkes på nogle af systemerne.
Ugen bød nemlig også på nyheden om, at hundredvis af kølediske i franske supermarkeder var blevet hacket, så temperaturen steg, og tonsvis af fordærvet mad måtte kasseres. Spørgsmålet er, hvad de frysere overhovedet lavede på nettet.
Forældede internetforbundne Danfoss-sensorer med lav sikkerhed skabte sårbarheder, som kunne udnyttes digitalt. Vi bliver ramt igen og igen på vores bekvemmelighed.