Det er den fynske virksomhed Pays med hovedkvarter i det centrale Odense, der udløste danmarkshistoriens måske største hack, da selskabet blev hacket, og hackerne via selskabets adgang til CPR-registeret lænsede hele systemet for 8,8 millioner CPR-numre tilhørende 5,5 millioner nulevende danskere og 3,3 millioner afdøde danskere.
"Vi kan bekræfte, at vi er den virksomhed, der har været udsat for et angreb, hvor vores lovlige adgang til at søge oplysninger i cpr-systemet er blevet misbrugt," meddeler selskabets direktør og ejer, Sophie Laursen, i en mail til TV 2.
Pays website på pays.dk er lukket helt ned og fjernet.
Men oplysninger i virksomhedsregisteret viser, at det lille selskab har blot to medarbejdere og ejes af Sophie Laursen. Det landede i senest tilgængelige regnskabsår et lille overskud på 317.000 kroner.
Selskabet beskæftiger sig med "udvikling og drift af softwareløsninger til datavask, analyse, datawrangling, opdatering, og gen-aktivering og automatisering af data med fokus på privacy-first databehandling, GDPR-compliance og teknisk dokumenterbare processer," lyder dets egen beskrivelse.
Sikkerheds-ekspert Peter Kruse skriver på LinkedIn, at det er 'crazy,' at det netop er Pays, der er knyttet til det store hack.
Af virksomheds-registeret fremgår det nemlig, at Pays er knyttet til fundraising-selskabet CharityGuard, som ifølge Peter Kruse er hovedejer af StopSvindel Aps.
"Konceptet bag StopSvindel Aps er at beskytte og informere danskerne mod digital svindel, identitets-tyveri og bedrageri på internettet. Bliver det her snart mere grotesk?," lyder det fra Peter Kruse.
Computerworld kunne tidligere i dag afsløre, at hackerne fandt vej ind i CPR-registeret allerede 11. september, da de udnyttede Pays adgang til registeret til at lænse systemet for 8,8 millioner CPR-numre.
Hackerne var inde frem til 20. september. Det ubudne besøg blev først opdaget 2. oktober.
Hackeren fortalte i dag til Politiken, at it-sikkerheden i CPR-registeret var så dårlig, at det var muligt at få adgang til det hele via et af de mest simple passwords i verden, nemlig 123456.
Politiken skriver, at Pays havde mindst tre profiler med adgangskoden 123456, som gav adgang til de mange CPR-numre.
Efterfølgende kunne hackeren lave to computerprogrammer, der automatisk kunne søge i registret og høste numrene.
At det var så simpelt at bryde ind i registret på den måde kom bag på hackeren selv.
”Nogen efterlader en kuffert med 10 kilo plutonium uden opsyn på en banegård. Så stjæler en hjemløs den. Ja, selvfølgelig skal man ikke stjæle andres kufferter. Men man skal heller ikke efterlade nukleart materiale på en banegård,” har den anonyme hacker sagt til Politiken.
