Lösenordet "123456" blottade hela Danmarks befolkning – står Sverige på tur?
Det låter som handlingen i en dålig it-thriller från 90-talet, men händelsen som skakat Danmark under de senaste dagarna är i allra högsta grad verklig. Det danska CPR-registret (Central Person Register), motsvarigheten till den svenska folkbokföringen, har drabbats av ett gigantiskt dataintrång. Konsekvenserna är ofattbara: personuppgifter tillhörande över 5 miljoner levande och 3 miljoner avlidna danskar har exponerats. Detta innebär att i princip hela nationens identitetsdata har läckt.
Vad som gör skandalen ännu mer anmärkningsvärd är inte komplexiteten i själva cyberattacken, utan bristen på den. Enligt danska Ritzau var säkerhetshaveriet direkt kopplat till extremt svaga lösenord. Minst tre användarkonton, varav ett tillhörde en systemadministratör med omfattande behörigheter, skyddades av det klassiska och djupt osäkra lösenordet "123456". Det krävdes alltså ingen avancerad artificiell intelligens eller statssponsrad rysk hackergrupp för att lamslå det danska folkbokföringssystemet – det räckte med att gissa sig till världens vanligaste lösenord.
Kan en liknande katastrof ske i Sverige?
När grannen drabbas vänds blickarna naturligtvis inåt. Skulle Skatteverkets folkbokföringsregister kunna läcka på samma sätt? Det korta svaret är ja, men nyanserna är viktiga.
Sveriges myndigheter har generellt sett kommit långt när det gäller implementeringen av multifaktorautentisering (MFA) och så kallad Zero Trust-arkitektur, där man aldrig litar på en användare enbart baserat på ett lösenord. Det innebär att även om en svensk administratör mot förmodan skulle använda "123456", krävs i regel fysiska säkerhetsdosor, smartkort (SITHS-kort) eller app-baserade inloggningar för att få tillgång till rikets mest kritiska databaser.
Men historien lär oss att system sällan är starkare än sin svagaste, mänskliga länk. Den svenska offentliga sektorn förlitar sig i stor utsträckning på en enorm väv av externa it-leverantörer, konsulter och underentreprenörer. Det räcker att ett externt bolag med fjärråtkomst till en kommunal eller statlig databas slarvar med sina interna säkerhetsrutiner för att en bakdörr ska öppnas. Vi såg liknande strukturella sårbarheter under Transportstyrelseskandalen, där bristen på säkerhetskontroll vid utkontraktering fick enorma proportioner.
Ett svenskt läckage av den här kalibern skulle dessutom få andra konsekvenser än i Danmark. Mycket i det svenska registret – namn, adresser och personnummer – är redan att betrakta som offentliga handlingar tack vare offentlighetsprincipen och söktjänster på nätet. Den verkliga faran vid ett totalt svenskt registerhaveri ligger istället i exponeringen av individer med skyddad identitet, relationskopplingar (vilket kan nyttjas för riktade bedrägerier mot anhöriga) och djupare skatteinformation.
Danmarks kris är en brutal väckarklocka. Den påminner varje svensk it-chef och myndighetsledare om att cybersäkerhet aldrig kan stanna vid fina policydokument. Oavsett hur många miljarder som investeras i avancerade brandväggar, faller hela försvaret om grundhygienen brister.