Sebastian Juul
Uvedkommende skaffede sig navne, adresser og CPR-numre på stort set hele den danske befolkning.
Myndighederne bekræftede mandag den 5. oktober 2026 et af de største brud på personoplysninger i danmarkshistorien. CPR-registret, der rummer omkring 11 millioner registreringer af levende, afdøde og udrejste, blev kompromitteret i omtrent ti dage i september, da uvedkommende skaffede sig adgang til oplysninger om cirka 8,8 millioner personer.
De lækkede data omfatter navn, adresse og CPR-nummer. Borgere med navne- og adressebeskyttelse er ifølge Forsknings-, Uddannelses- og Digitaliseringsministeriet ikke berørt, da den slags beskyttede oplysninger ikke indgik i de data, der blev trukket uautoriseret.
Angriberne brød aldrig selv ind i selve CPR-systemet. De misbrugte derimod den lovlige adgang, som en mindre dansk privat virksomhed havde fået tildelt til registret. CPR-administrationen fik fredag aften varsel om uregelmæssig adfærd i systemet, og i løbet af weekenden stod det klart, hvor stort omfanget var.
Minister kalder det dybt alvorligt
Forsknings- og digitaliseringsminister Christina Egelund (M) orienterede mandag Folketingets Erhvervs- og Digitaliseringsudvalg og lagde ikke skjul på alvoren.
“Det er en dybt alvorlig hændelse, hvorfor jeg også har orienteret Folketingets Erhvervs- og Digitaliseringsudvalg,” udtalte hun i pressemeddelelsen.
Ministeren pegede samtidig på, at sikkerheden omkring den pågældende virksomheds adgang til registret ikke levede op til kravene. Den konkrete adgang er lukket, og tilsvarende adgangsveje hos andre virksomheder er sikret. En samlet sikkerhedsgennemgang af CPR-systemet er sat i gang.
CPR-administrationen har anmeldt hændelsen til Datatilsynet, og National Enhed for Særlig Kriminalitet (NSK) efterforsker sagen i samarbejde med andre myndigheder. Der er indtil videre ingen mistænkte, og det er heller ikke oplyst, hvilken dansk virksomhed der er tale om.
“Det største brud nogensinde”
Fagfolk kalder sagen uden fortilfælde. Jens Myrup Pedersen, professor i cybersikkerhed ved Aalborg Universitet, er ikke i tvivl om alvoren.
“Det største brud nogensinde mod det danske CPR-register. Det er der ingen tvivl om,” siger han.
Det specielle ved denne lækage er, at CPR-numrene denne gang kommer ud sammen med navn og adresse. Kombinationen gør datasættet markant mere brugbart for kriminelle.
“Det er rigtig effektivt både til phishing og identitetstyveri,” advarer professoren.
Hvad borgerne skal være opmærksomme på
Konsekvensen for den enkelte dansker er, at CPR-nummeret ikke længere kan antages at være en fortrolig oplysning. Myndighederne opfordrer borgerne til at være ekstra skeptiske over for opkald, mails og SMS’er, der henviser til personlige oplysninger, også selvom afsenderen kender både navn og CPR-nummer.
Konkret bør man aldrig udlevere adgangskoder, MitID-koder eller betalingsoplysninger på baggrund af en uopfordret henvendelse. Lækken føjer sig til en række angreb på danske borgere, hvor stjålne data kobles med svindel-SMS’er, der imiterer pakkelevering fra PostNord og andre afsendere.
