07/04-10 - Pressemeddelelse

CSIS advarer: CPR numre flyder fortsat på nettet

Allerede i Oktober 2007 satte CSIS første gang spot på det problem at vores CPR-numre flyder frit på nettet. Det gjorde vi med følgende pressemeddelelse: www.presswire.dk/default.asp?o=1&pid=24298.

Dengang påviste vi hvordan man med simple tekstsøgninger kunne finde personlige oplysninger og CPR numre publiceret i bl.a. CV'er på jobsøgningssider, databaser og personlige websider.

Siden dengang, som gav en del mediedækning, er der blevet renset godt ud, men problemet er desværre blevet flyttet til et nyt område. Nu advarer CSIS Security Group A/S igen, og denne gang gælder advarslen særligt følsomme oplysninger gemt i PDF dokumenter.

Vi har med en intern test, baseret på flere end 100 forskellige søgekombinationer, dokumenteret hvor let det er fortsat at indsamle CPR numre fra letsindige danskere og arbejdsgivere m.v., som uden at tænke over konsekvenserne hovedløst publicerer personlige oplysninger i f.eks. jobudtalelser og kursus- og eksamensbeviser.

At finde CPR numre på nettet kræver en smule opfindsomhed. Men har man den, er det ikke svært at trawle flere hundrede CPR numre på under en time.

En metode er naturligvis fortsat at anvende almindelige søgemaskiner som f.eks. Google til at gøre arbejdet. Det eneste der kræves er at lave en smule søgemaskine akrobatik, som dokumenteret herunder.

Følgende tekststreng i Google:

filetype:pdf intitle:udtalelse CPR

- vil f.eks. bede Google om at lede efter ord som "udtalelse" og "CPR" i PDF dokumenter.

Det er desværre også en smule nedslående, at det gamle "CV trick" stadig fungerer fint, dog med den mindre variation, at vi i stedet jagter følsomt indhold i netop PDF dokumenter:

filetype:pdf intitle:CPR Curriculum Vitae

Eller hvad med kursus beviser?

filetype:pdf intitle:kursusbeviser CPR-nr

Måske en søgning efter CPR numre i eksamensbeviser?

filetype:pdf intitle:eksamensbevis CPR-nr.

De forskellige søgemetoder giver flere hundrede hits og blotlægger mange følsomme oplysninger som potentielt kan misbruges af it-kriminelle til bl.a. identitetstyverier.

Problemet ser denne gang ud til at skyldes at rigtigt mange danske brugere og arbejdsgivere ikke ved, at også PDF dokumenter og indholdet heraf, kan opsamles af søgerobotter og derved, som helt almindelige dokumenter og tekst gøres tilgængelige for folk med potentielt slette hensigter.

CSIS anbefaler, at man udviser forsigtighed med at publicere personfølsomme oplysninger på nettet. Det gælder alle former for ikke krypterede dokumenttyper.