Tusindvis af kunder hos ejendomsmæglerkæden EDC risikerer at få deres personlige oplysninger frigivet på nettet efter et større hackerangreb.
Ransomwaregruppen Black Basta, der står bag angrebet, truer på sin hjemmeside med at frigive 2,5 terrabyte data om få dage.
De har krævet 6 millioner dollars i løsesum fra EDC, oplyser ejendomsmæglerkæden til DR.
Hovedparten af de stjålne data drejer sig om kontaktoplysninger, som telefonnumre, e-mailadresser og adresser - herunder hemmelige adresser, men der er også knap 100.000 cpr-numre iblandt.
For omkring 1.300 personers vedkommende indgår der også kopier pas, kørekort og sygesikringsbeviser i det store hack, oplyser EDC.
Korrespondent: Vær på vagt over for mistænkelige sms'er
Ifølge DR's techkorrespondent, Henrik Moltke, viser angrebet vigtigheden i at både virksomheder og borgere beskytter deres data.
- Hvis EDC’s formodninger om skadens omfang holder stik, må mange danskere desværre leve med at deres adresser og CPR-numre ikke længere er private, siger han.
- Derfor skal de holde særligt øje med usædvanlige mails og sms'er og telefonopkald, fordi de her data kan bruges af kriminelle til at forberede identitetstyveri og forskellige former for svindel, siger Henrik Moltke
Ifølge IT-sikkerhedsekspert Jan Kaastrup fra CSIS Security Group, der har efterforsket angrebet for EDC, var der tale om et sofistikeret og målrettet angreb.
Hackerne fik adgang til firmaets server gennem en inficeret e-mail, sendt til en enkelt medarbejder.
- E-mailen kommer typisk fra nogen, man kender, der selv har fået hacket deres e-mail, fortæller han.
Tæppebombet med sager i øjeblikket
Denne type "spear phishing"-angreb er svære for traditionelle sikkerhedssystemer at stoppe, og har hackerne først fået adgang til en bruger-pc, er en del forsvarværker allerede passeret.
Han fortæller, at CSIS de seneste tolv måneder har haft 200 sager om angreb mod danske virksomheder.
- Vi bliver tæppebombet i øjeblikket med sager, siger Jan Kaastrup.
Stigningen skyldes, at russiske hackergrupper i kølvandet på krigen i Ukraine, har skruet op for angreb mod blandt andet virksomheder i USA og Europa, fortæller han.
En af de mest professionelle grupper er netop Black Basta, som står bag EDC-angrebet.
- Black basta er en prorussisk hackergruppe, formentlig bosiddende i Rusland, der målrettet går efter virksomheder og institutioner i USA og Europa, der ligger inde med følsomme personoplysninger, siger han.
Pas, kørekort og sundhedskort
Ved angrebet, der skete 1. november, fik hackerne ifølge EDC fat i en backup-fil, der ved en menneskelig fejl var blevet oprettet.
- Hackerne har ikke haft adgang til den server, hvor vi har vores sager, fortæller informationschef i EDC Jan Nordmann.
Til gengæld fik hackergruppen som nævnt fat i kopier af over 1.300 personers dokumenter, for eksempel pas, kørekort og sundhedskort.
Her er der ikke tale om data på EDC-kunder, men data, som EDC er kommet i besiddelse af, da man for nogle år siden overtog en anden virksomhed.
- Det er så uheldigt, som det kan være, siger Jan Nordmann fra EDC.
Ofre vidste det ikke
EDC har underrettet Datatilsynet, skrevet ud til kunderne og sendt en pressemeddelelse ud om hackerangrebet.
DR har talt med to ofre, der ikke finder det særligt betryggende, at deres pas nu ligger på Black Bastas side på darknet, den del af internettet, hvor kriminelle kan kommunikere anonymt via blandt andet skjulte websider.
De fortæller, at de ikke af EDC er blevet gjort opmærksomme på, at deres data er blevet stjålet.
Ifølge EDC har det ikke været muligt at kontakte alle berørte direkte med kort varsel, blandt andet fordi de personer, der fik kopieret deres pas eller kørekort slet ikke er eller har været kunder hos EDC, men derimod hos en anden ejendomsmægler.
- Vi har skrevet til alle, vi havde e-mailadresser på, og vi har sendt breve ud. Vi har gjort så meget, vi har kunnet, siger Jan Normann fra EDC.
Kan ramme alle
Jan Kaastrup fra CSIS Security Group, der har efterforsket angrebet for EDC, understreger, at den slags angreb i princippet kan ramme alle virksomheder og institutioner.
- Det er ikke, fordi virksomhederne ikke har investeret i it-sikkerhed, men de kriminelle skal bare lykkes én gang med at komme igennem, mens virksomhederne skal lykkedes med at beskytte sig selv 24 timer døgnet, 365 dage om året, siger han.
Angrebet illustrerer dog også nødvendigheden af, at de institutioner og private virksomheder, der håndterer borgernes følsomme data, lever op til deres ansvar, siger DR's techkorrespondent.
- Angrebet viser endnu engang, hvor svært det er at beskytte sig selv fra læk, når virksomheder gang på gang omgås data på en måde, der gør det muligt. Det er en tragisk konsekvens af vores digitale virkelighed, siger Henrik Moltke.
Læs også om en anden hackergruppe, der angreb den danske vindmølleproducent Vestas.