Identitetstyveri

Identitetstyveri er misbrug af en anden persons identitetsoplysninger til at foretage handlinger i vedkommendes navn. Tyven stjæler sjældent penge direkte. Han stjæler det, der giver adgang til penge: CPR-nummeret, MitID-loginnet, kørekortet eller den kombination af navn, adresse og fødselsdato, som en långiver bruger til at afgøre, om du er den, du siger, du er.

Hvorfor Danmark er et oplagt mål

Den danske digitale infrastruktur er usædvanlig effektiv, og effektivitet skærer begge veje. CPR-nummeret fungerer som en gennemgående nøgle på tværs af bank, sundhedsvæsen, uddannelse, forsikring og abonnementstjenester. Det kan ikke skiftes ud. Et kompromitteret kodeord udskiftes på et minut, mens et lækket CPR-nummer følger dig resten af livet.

MitID forstærker konsekvensen af et enkelt brud. Hvor en angriber i mange andre lande skal bryde ind hos hver enkelt udbyder for sig, giver et overtaget MitID i praksis adgang til netbank, e-Boks, skat.dk, sundhed.dk og langt de fleste handelsplatforme på én gang. Løsningen er sikker i sin konstruktion. Det svage led er mennesket, der godkender.

Sådan foregår angrebet

1. Indsamling af oplysninger

Grundmaterialet stammer typisk fra datalæk hos virksomheder, offentligt tilgængelige registre, sociale medier eller direkte fra ofret via phishing. Oplysningerne handles i sammensatte profiler, hvor navn, adresse, fødselsdato, telefonnummer og arbejdsplads er samlet i én post. Jo mere komplet profilen er, desto lettere er næste trin.

2. Brud på verifikationen

Her adskiller angrebet sig fra almindeligt bedrageri. Angriberen skal overbevise en tredjepart om at være dig, og det sker på tre måder:

• Overtagelse af MitID ved at ringe eller skrive som "banken" eller "MitID-support" og få ofret til at godkende en aktivering, hun tror er noget andet
• SIM-swap, hvor teleselskabet narres til at flytte ofrets nummer til et nyt SIM-kort, så SMS-koder lander hos angriberen
• Ren dokumentforfalskning over for udbydere, der nøjes med et scannet kørekort eller et CPR-nummer som legitimation

3. Udnyttelsen

Når verifikationen er brudt, går det stærkt. De typiske forløb i Danmark er forbrugslån og kviklån optaget i ofrets navn, mobilabonnementer og elektronik købt på afbetaling, ændring af NemKonto så udbetalinger fra det offentlige omdirigeres, samt oprettelse af konti hos handelsplatforme, der efterfølgende bruges til svindel mod andre.

Angriberen har ofte et forspring på uger. Regningerne sendes til en adresse, ofret ikke kender, og først når inkassoen finder den rigtige adresse, opdages misbruget.

Advarselstegn

Du bør reagere, hvis du oplever:

• Rykkere, inkassobreve eller regninger for aftaler, du ikke har indgået
• Afvisning af en kreditansøgning uden en forklaring, du kan genkende
• Post i e-Boks fra långivere eller teleselskaber, du ikke er kunde hos
• En MitID-godkendelse, du ikke selv har igangsat
• At din mobil pludselig mister forbindelse uden grund, hvilket kan betyde SIM-swap
• Ændringer i din NemKonto eller udbetalinger, der udebliver

Hvad du gør, hvis du er ramt

Rækkefølgen betyder noget. De første timer afgør, hvor meget der når at ske.

1. 1Spær dit MitID via MitID-support eller din bank, og genudsted det først, når du er sikker på, at din enhed og e-mail er rene
2. 2Kontakt din bank og få spærret kort og konti, og bed dem markere sagen som identitetsmisbrug frem for almindeligt kortmisbrug
3. 3Anmeld til politiet på politi.dk. Anmeldelsen er ikke en formalitet, men det dokument, du skal bruge over for hver enkelt kreditor for at afvise et krav
4. 4Kontakt hver kreditor skriftligt og bestrid aftalen med henvisning til anmeldelsen. Gør det skriftligt, så du har dokumentation
5. 5Overvej frivillig registrering i RKI hos Experian. Det spærrer i praksis din adgang til at optage kredit, og dermed også angriberens
6. 6Kontrollér din NemKonto på nemkonto.dk og skift den tilbage, hvis den er ændret

Virksomhedens ansvar

For en dansk virksomhed er identitetstyveri sjældent et angreb mod virksomheden selv. Det er en konsekvens af, at virksomhedens data er sluppet ud, eller at virksomhedens verifikation var for svag.

Slipper personoplysninger ud, skal bruddet anmeldes til Datatilsynet inden 72 timer efter, at det er opdaget, jf. databeskyttelsesforordningens artikel 33. Er der høj risiko for de registrerede, skal de også underrettes direkte efter artikel 34. Netop CPR-numre gør risikovurderingen streng, fordi skaden er uoprettelig for den enkelte.

Strafferetligt rejses sagerne mod gerningsmanden typisk som bedrageri efter straffelovens § 279 og dokumentfalsk efter § 171, mens selve indbruddet i systemerne rammes af § 263.

Under NIS2-direktivet er kravet til virksomheder i de omfattede sektorer skærpet: kundeverifikation og adgangsstyring er en del af de risikostyringsforanstaltninger, ledelsen er personligt ansvarlig for.

Forebyggelse

For den enkelte er det vigtigste tiltag at gøre MitID-godkendelser til en bevidst handling. Godkend aldrig et login, du ikke selv netop har startet, uanset hvem der ringer. Ingen bank, ingen myndighed og ingen MitID-support beder dig godkende noget over telefonen.

Derudover: brug forskellige kodeord til hver tjeneste, slå to-faktor til hos teleselskabet så dit nummer ikke kan flyttes uden ekstra kontrol, læs e-Boks jævnligt frem for at lade posten hobe sig op, og vær tilbageholdende med at oplyse CPR-nummer. Meget få virksomheder har reelt lovhjemmel til at bede om det.

For organisationer er det mest effektive tiltag at holde op med at behandle CPR-numre som et bevis på identitet. Nummeret er en nøgle til opslag, ikke en adgangskode, og det bør aldrig alene kunne åbne en aftale.