Medie: Program bag CPR-læk var skabt af kunstig intelligens

Kunstig intelligens har skabt det computerprogram, der ulovligt har hentet 8.749.975 CPR-numre fra CPR-registret.

Det fortæller den formodede hacker bag angrebet til Politiken. Personen har over for avisen hævdet, at det var vedkommende, der stod bag angrebet, og at det ikke var specielt vanskeligt.

»Enhver AI-model, der er blevet lanceret inden for det seneste års tid, vil kunne gøre det,« skriver den anonyme hacker til Politiken.

Avisen har fået to eksperter til at gennemgå programmet. Det fylder over 40.000 tegn.

De vurderer, at koden til computerprogrammet rigtigt nok er skabt af kunstig intelligens.

I sidste uge kunne danske myndigheder oplyse, at uvedkommende gennem omkring ti dage i september havde skaffet sig adgang til navne og adresser samt CPR-numre på godt 8,7 millioner personer.

Efterfølgende har den formodede hacker henvendt sig til Politiken og sagt, at det var vedkommende, der stod bag.

Ved hjælp af programmet kunne hackeren ifølge eget udsagn tilgå data fra CPR-registret gennem en hjemmeside tilhørende den fynske virksomhed Pays.

Den formodede hacker fandt login-oplysninger til hjemmesiden takket være en lækket adgangskode fra en tidligere medarbejder.

Personen sagde til avisen i sidste uge, at vedkommende ikke har planer om at sælge eller lække oplysningerne.

Politiken skrev her, at mindst tre profiler hos den fynske virksomhed Pays brugte adgangskoden ”123456”. Det viste en gennemgang af det datalæk, som hackeren hævder at have brugt.

Én af profilerne var virksomhedens administratorkonto.

Pays ApS, der ligger i Odense, bekræftede fredag over for TV 2, at det var virksomheden, der blev kompromitteret.

Den formodede hacker afviser i tirsdagsudgaven i Politiken at have stærke tekniske evner. Det viste sig blandt andet, da der var fejl i den kode, som blev produceret til at skaffe adgang.

AI-programmet havde ved en fejl søgt efter personer, der er født i 1877 og ikke 1977, lyder det.

Derfor er CPR-numre fra personer født i 1977 ikke med i det materiale, som den formodede hacker har delt med Politiken.

Pays’ direktør, Sophie Laursen, har ikke svaret på Politikens henvendelser om virksomhedens sikkerhed.

Private virksomheder og foreninger kan i dag få adgang til CPR-registret, hvis de for eksempel har brug for adresseoplysninger på kunder eller medlemmer.

Af Det Centrale Virksomhedsregister fremgår det, at der i juli 2026 var to ansatte i Pays ApS.