CPR-oplysninger om millioner er lækket: Nu advares virksomheder mod øget risiko for svindel

Virksomheder bør være ekstra opmærksomme på svindelforsøg i den kommende tid. Sådan lyder opfordringen fra Dansk Industri efter et omfattende læk af CPR-oplysninger om omkring 8,8 millioner personer.

Ifølge DI betyder lækket, at oplysninger som navn, adresse og CPR-nummer ikke længere bør være nok til at bekræfte, at en kunde, medarbejder eller samarbejdspartner er den person, vedkommende udgiver sig for at være.

– Det er en meget alvorlig sag. Når kriminelle kender navn, adresse og CPR-nummer, bliver svindelforsøg langt mere troværdige. Det er positivt, at myndighederne har lukket den misbrugte adgang og er åbne om hændelsen, siger Jeppe Engell, chefkonsulent i Digitaliseringspolitik i Dansk Industri.

Kan gøre svindelforsøg mere troværdige

Bekymringen er ifølge DI, at personoplysningerne kan gøre det lettere for svindlere at fremstå troværdige, når de eksempelvis udgiver sig for at være en kunde eller medarbejder.

Derfor opfordres virksomheder til at gennemgå de steder, hvor medarbejdere foretager identitetskontrol. Det kan blandt andet være i kundeservice, økonomiafdelinger og it-support.

Særligt procedurer omkring nulstilling af adgangskoder og tofaktorgodkendelse bør ifølge DI have virksomhedernes opmærksomhed.

CPR-nummer bør ikke stå alene

DI anbefaler, at virksomheder benytter yderligere metoder til at kontrollere en persons identitet.

Det kan eksempelvis være MitID, kontrolspørgsmål, login på en kundeportal eller andre former for verificering.

– Vi må forvente flere og mere troværdige svindelforsøg mod både borgere og virksomheder i den kommende tid. Medarbejdere i kundeservice, økonomi og it-support skal være ekstra opmærksomme. Vi rådgiver vores medlemmer om, hvad de konkret kan gøre, siger Jeppe Engell.

Opfordrer virksomheder til at reagere nu

Dansk Industri anbefaler blandt andet, at virksomheder gennemgår, hvor CPR-nummer, navn og adresse i dag bruges til identitetskontrol.

Samtidig bør medarbejderne gøres opmærksomme på, at et CPR-nummer ikke i sig selv bør være tilstrækkelig identifikation. Ved tvivl anbefales det at kontrollere henvendelser gennem allerede kendte kontaktkanaler.

DI opfordrer desuden virksomheder til at informere både medarbejdere og kunder om risikoen for mere målrettede svindelforsøg og prioritere de områder, hvor en fejl kan få de største konsekvenser.

Budskabet fra organisationen er dermed, at virksomheder allerede nu bør se deres procedurer efter i sømmene og sikre mere robuste metoder til identitetskontrol.