nyhed

Uvedkommende har fået adgang til borgeres CPR-oplysninger: Sådan kan du verificere borgere, der tager kontakt til jer

06-10-2026

Forsknings-, Uddannelses- og Digitaliseringsministeriet har oplyst, at uvedkommende har skaffet sig uautoriseret adgang til bl.a. navne og adresser samt CPR-numre gennem CPR-systemet. Myndigheder, organisationer, virksomheder og borgere bør være opmærksomme på forsøg på misbrug.

Det Centrale Personregister (CPR) har konstateret en alvorlig sikkerhedshændelse. Uvedkommende har skaffet sig adgang til navne, adresser, CPR-numre mv. på en meget stor mængde registrerede borgere i CPR-systemet. Det oplyser Forsknings-, Uddannelses- og Digitaliseringsministeriet i en pressemeddelelse.

Myndigheder, organisationer og virksomheder opfordres til at udvise agtpågivenhed, når de bliver kontaktet. Hvis navn, adresse og CPR-nummer tidligere er blevet brugt til at validere personer, der henvender sig fysisk eller telefonisk, giver sikkerhedshændelsen anledning til at genbesøge, om det er tilstrækkeligt.

Alle med borgerkontakt kan overveje følgende ift. verifikation

  1. Henvise borgeren til login i et selvbetjeningssystem, fx med MitID.
  2. Sende en engangskode til et telefonnummer eller en e-mailadresse, der allerede er registreret om borgeren.
  3. Stiller kontrolspørgsmål, der ikke alene bygger på oplysninger, som kan være lækket, og som tager udgangspunkt i den konkrete relation. For virksomheder kan det fx være kundenummer, aftalenummer eller oplysninger om seneste fakturanummer. For offentlige myndigheder kan det fx være tidligere adresse eller oplysninger om seneste kontakt eller sagsforløb.
  4. Ringe tilbage til borgeren på et telefonnummer, der allerede er registreret til borgeren, i stedet for et nummer oplyst i den aktuelle henvendelse.
  5. Bede borgeren møde fysisk op med legitimation, hvis henvendelsen handler om særlige ændringer af økonomisk eller sikkerhedsmæssig karakter.
  6. Indføre manuel kontrol eller karensperiode ved ændringer, der kan have økonomisk eller sikkerhedsmæssig betydning.

Det vil være en vurdering alt efter type af organisation, virksomhed eller myndighed, hvordan det kan verificeres, at man har med den rette borger at gøre.

Ved henvendelser, hvor borgeren fx ønsker adgang til personlige oplysninger, ændring af kontaktoplysninger, oprettelse af abonnement, køb på kredit, udstedelse af nyt SIM-kort, nulstilling af adgangskode eller ændring af betalingsoplysninger, bør virksomheden / myndigheden bruge stærk validering.

I sådanne tilfælde bør CPR-nummer, navn, adresse eller fødselsdato ikke være tilstrækkeligt.

Rådene er senest opdateret 6. oktober 2026.