Stort, dansk IT-firma lækker CPR-numre

Et stort, dansk IT-firma, der ligger inde med flere hundrede tusinde navne og CPR-numre på danskere sjusker med sikkerheden på deres hjemmeside. Af hensyn til firmaet og de personer, hvis navne og CPR-numre er lækket, er det ikke her, du får virksomhedens navn at vide – så er det sagt.

På IT-firmaets hjemmeside har de en PDF-manual, der udførligt beskriver deres ellers udmærkede system. Her viser de detaljeret med screenshots, hvordan administratorer bruger det. De er ikke helt tossede, og derfor har de dækket følsomme oplysninger på screenshotet med en grå boks. Problemet er bare, at billedet under boksen loader hurtigere end boksen og derfor er det muligt at få et kort glimt af oplysningerne og tage et screenshot af dem. Der gik ikke længe, før jeg havde fundet frem til Facebook-, Live- og andre profiler på personerne og derfor ved jeg, at der ikke bare var tale om testpersoner.

Det skal siges, at der kun er tale om et par håndfulde personers oplysninger, der kan ses og det er tilsyneladende ikke et stort problem. Men det synes jeg, det er! Der kan ske smuttere, men et system der anvendes af så mange brugere bør have bedre styr på sikkerheden! Systemet er hovedsageligt målrettet det offentlige og det offentlige bør være meget mere opmærksomme på, hvilke firmaer der får så følsomme oplysninger i hænderne.

Det mest pinlige ved denne sag er, at det er et firma, der brander sig på at have høj datasikkerhed, og man må forvente, at et IT-firma (med det offentlige som storkunde) har styr på, hvordan man laver en ordentlig PDF-fil uden at afsløre følsomme oplysninger på personer, som sikkert ikke engang ved, at firmaet ligger inde med dem. I en anden manual har firmaet dog gjort det korrekt – taget et screenshot og ændret direkte i billedet. Det andet er bare amatøragtigt, pinligt og faktisk også imod dansk lovgivning.

Pas på hvem du giver dine oplysninger til – måske har de selv rent mel i posen, men deres underleverandører har måske ikke orden på sagerne.