Kunstig intelligens skrev koden til det computerprogram, der ulovligt hentede knap 8.749.975 CPR-numre fra CPR-registret. Det fortæller den anonyme hacker bag angrebet til Politiken.
Politiken har fået to eksperter til at gennemgå det over 40.000 tegn lange program. Begge vurderer, at koden rigtigt nok er skabt af kunstig intelligens – og hackeren afviser selv at have stærke tekniske evner. Det ses blandt andet ved fejl i koden: AI-programmet søgte ved en fejl efter personer født i 1877 i stedet for 1977, hvilket betyder, at CPR-numre fra personer født i 1977 ikke er med i det materiale, hackeren delte med avisen.
“Enhver AI-model, der er blevet lanceret inden for det seneste års tid, vil kunne gøre det,” skriver hackeren til Politiken. Den påstand rejser spørgsmål om hvor bredt udbredt sådan hackeraktivitet kan blive.
Billige, almindelige adgangskoder åbnede døren
I september fik uvedkommende adgang til navne, adresser og CPR-numre på godt 8,7 millioner personer gennem omkring ti dages tid. Ifølge hackeren lykkedes det gennem en hjemmeside tilhørende den fynske virksomhed Pays ApS i Odense.
Hackeren fandt login-oplysninger takket være et lækket password fra en tidligere medarbejder. Politiken afslørede, at mindst tre profiler hos Pays brugte adgangskoden “123456” – blandt dem virksomhedens administratorkonto. En banalitet, som blev nøglen til at få adgang til millioner af danskeres personlige data.
Pays ApS bekræftede over for TV 2, at det var virksomheden, der blev kompromitteret. Direktør Sophie Laursen har ikke svaret på Politikens henvendelser om virksomhedens sikkerhed.
Bred adgang til CPR-registret reelt sårbart
Det centrale spørgsmål er, hvordan det kunne ske. Private virksomheder og foreninger kan i dag få lovlig adgang til CPR-registret, hvis de har brug for adresseoplysninger på kunder eller medlemmer. Sådanne virksomheder skal opfylde sikkerhedskrav, men Pays-sagen viser, at selv små virksomheder med få ansatte – Det Centrale Virksomhedsregister angiver to ansatte per juli 2026 – kan få adgang til hele registret.
Hackeren har forklaret Politiken, at det ikke var specielt vanskeligt at gennemføre angrebet. Den formodede hacker oplyste desuden til avisen, at vedkommende ikke har planer om at sælge eller lække oplysningerne, hvilket efterlader uklarheden om motivet og hvorvidt data kan komme på markedet senere.