Teleselskabet 3 afpresses: It-kriminelle har tappet CPR på tusindvis af kunder

Teleselskabet 3 bliver pt. afpresset af kriminelle, der kræver et større millionbeløb for ikke at udlevere oplysninger om en del af 3’s kundebase. 3 har overdraget sagen til politiet, der nu efterforsker sagen.

Natten til fredag blev teleselskabet 3 kontaktet af en eller flere kriminelle, der i en mail hævder at være i besiddelse af kundeoplysninger om en lille del af 3’s kundebase. Det oplyser selskabet i en pressemeddelelse.

Den eller de kriminelle kræver et større millionbeløb for ikke at offentliggøre oplysningerne.

'Efter at have været i dialog med politiet er det vurderingen, at truslen om afpresning er reel, og at gerningsmændene faktisk er kommet ulovligt i besiddelse af oplysninger om ca. 3.600 kundenumre i 3’s kundebase. Oplysninger, der p.t. vurderes til at være navn, adresse og cpr-nummer, men ikke bankoplysninger eller pinkoder. Oplysningerne er ikke af ny dato, men mindst 9 måneder gamle,' skriver selskabet.

»Det er første gang i virksomhedens historie, at vi er udsat for denne type af kriminel adfærd. Jeg vil gerne slå fast, at vi hos 3 naturligvis ikke medvirker til at forhandle med kriminelle. Vi har derfor overdraget sagen til politiet, som straks er gået i gang med efterforskningen, og vi er trygge ved, at man her kommer til bunds i en både alvorlig og meget ubehagelig sag for vores kunder og for 3,« siger Sidsel Rosendal Olsen, der er kundedirektør hos 3.

Version2 har tidligere beskrevet, at kunder hos 3 får logget deres position over 30 gange i døgnet. Men for nærværende melder selskabet altså ikke noget om, at disse data er med i lækket.

Læs også: Teleselskabet 3 logger konstant én million kunders færden

Ifølge 3 ved selskabet på nuværende tidspunkt ikke, hvordan den eller de kriminelle er kommet i besiddelse af oplysningerne:

»Vi håndterer mange data og personfølsomme oplysninger hver dag, så sikkerhed er højeste prioritet for os. Vi kan ikke på nuværende tidspunkt sige noget om, hvordan oplysningerne er faldet i forkerte hænder, og indtil vi har sikker viden i det spørgsmål, vil vi ikke bidrage til spekulation. Vi afventer resultatet af politiets efterforskning,« siger Sidsel Rosendal Olsen.

3 har i dag ca. 1,2 mio. kunder, og på nuværende tidspunkt er det derfor vurderingen, at det er en mindre del af kundebasen, der er ramt.

»Jeg er ked af det på kundernes vegne, og vil naturligvis beklage det, der er sket. Hvor det har været muligt, har vi selvfølgelig allerede skrevet til de kunder, som er berørt af sagen. Men det er vigtigt for os, at alle vores kunder har så megen viden og information om sagen som muligt, og derfor vælger vi at gå ud og fortælle om det, selvom vi lige nu står midt i en trussel om afpresning,« siger Sidsel Rosendal Olsen.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (35)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Martin Wolsing

Det er ikke mere "første gang" end at 3's afdeling i Storbritanien blev hacket i efteråret. Eller hacket er måske så meget sagt. Det var efter al sandsynlighed en medarbejder der havde udleveret eller solgt sit brugerlogin så de slemme fik adgang til 6 mio. kunders data. Disse data blev så brugt til at bestille mobiltelefoner med, som blev pillet fra under forsendelsen.

  • 1
  • 0
Thomas Fredsted

Det har det være længe. Det kræver dog at man lever op til persondataloven, men dette er jo ingen sikring mod hacking eller brodne kar blandt medarbejderne. Artiklen herover nævner både læk og hacking uden at præcisere hvad der er tale om - Hvilket udtalelsen fra 3 selv, tyder på at ingen ved.

  • 6
  • 0
Viggo Jensen

»Vi håndterer mange data og personfølsomme oplysninger hver dag, så sikkerhed er højeste prioritet for os.

Hahahaha! Oversat til dansk fra PR-lingo. Vi er skide ligeglade med jeres data. 9 mdr. og de ved ikke hvordan?

Er de 3.600 kunder dem afpresserne har fremsendt som bevis? De har garanteret flere. Lad de nye Politikadetter opklare sagen. Nc3 er alligevel til at lukke op og ***** i.

  • 10
  • 2
Mette Nikander

Her kunne F.eks. være tale om et Ransomware af den nyere slags, hvor data ikke kun krypteres og tages til fange, men hvor de kriminelle også truer med at offentliggøre de tilfangetagne data, hvis ikke virksomheden betaler de kriminelle. Det er iøvrigt muligt for malware at residere i en længere periode i "stealth mode", hvilket gør at også backups kan blive inficeret og det gør kampen mod de kriminelle meget vanskelig.

Når EU Persondataforordningen (GDPR) træder i kraft i maj 2018, så vil denne type malware, når det drejer sig om personhenførbare- eller personfølsomme data, være særdeles alvorlige for virksomhederne at blive ramt af, fordi de da vil stå i "dilemmaet", mellem at betale de kriminelle, eller betale de meget høje bøder som kan følge i kølvandet af offentliggørelsen.
Uanset hvor tilfreds en virksomhed er med sine sikkerhedstiltag er det nye tider, og der skal tænkes helt nye sikkerhedsforskrifter ind,- både teknologisk og praktisk.

Med venlig hilsen
Mette Nikander /C-cure.dk

  • 4
  • 5
Rasmus Nielsen
  • 5
  • 0
Peter D Hansen

3 skulle bruge 3 døgn før man begyndte at informere de berørte ofre for 3's utilstrækkelige sikkerhed.

Skyldes det at PR-afdelingen ikke arbejder i weekenden, heller ikke i den slags tilfælde?

Absurd i øvrigt at den svage Forbrugerombudsmand har givet teleselskaber lov til at forlange CPR i abonnementsforhold.

  • 5
  • 1
Anne-Marie Krogsbøll

Men bare rolig: kineserne har lovet at de ikke har kigget på dem.


Ja, netop :-) Og mon ikke vore myndigheder vil bruge samme strudsetaktik denne gang, selv hvis det viser sig, at alle 1,2 borgeres data er sluppet ud? F. eks. "Der er intet, der tyder på, at oplysningerne er blevet misbrugt. "?

I øvrigt: https://www.nrk.no/norge/norske-politikere-og-ambassadeansattes-passord-...
Gad vide om politiker og ambassadeansatte (i Norge ganske vist) kan lade sig afpresse?

  • 2
  • 0
Viggo Jensen

Uanset hvor tilfreds en virksomhed er med sine sikkerhedstiltag er det nye tider, og der skal tænkes helt nye sikkerhedsforskrifter ind,- både teknologisk og praktisk.

Mette Nikander, inden du begynder at raadgive andre og promote dig selv, skal du nok lige have styr paa din egen IT-sikkerhed. Mine gratis raad er du skal patche dine maskiner og lukke for ekstern administrativ adgang - UPS!

ncskyt lyder saa hyggeligt - spiller I med bilkort, drikker Pisang Ambon og deler virus paa 5-1/4" floppies?

  • 4
  • 8
Mette Nikander

Hej "Viggo Jensen",

Lige en kommentar til din ret usaglige kommentar.
"Mette Nikander, inden du begynder at raadgive andre og promote dig selv, skal du nok lige have styr paa din egen IT-sikkerhed. Mine gratis raad er du skal patche dine maskiner og lukke for ekstern administrativ adgang - UPS!"

Du benytter dette sted til et personligt udfald imod mig og min virksomhed, der iøvrigt ikke holder vand. Det passer ikke rigtigt ind i kontekst og min kommentarer er ikke mere "selvpromoverende" eller propaganderende" end andre kommentarer herinde. Kommentar felterne opfatter jeg som en mulighed for, at man kan sætte gang i nødvendige debatter og det vil jeg gerne være med til, nu da jeg også beskæftiger mig med mange af emnerne til dagligt og iøvrigt også gennem mit engagement via organisationer og arbejdsgrupper, forsøger positivt at påvirke lovgivning i EU og Danmark.

"ncskyt lyder saa hyggeligt - spiller I med bilkort, drikker Pisang Ambon og deler virus paa 5-1/4" floppies?"

Jeg ville ønske at NC3SKYT var nået længere end de er og spørger du Kim Aarenstrup fra NC3 ville han nok også ønske det samme. Problemet er blot at der ikke på Finansloven er sat penge nok af til Politiets arbejde, hvilket efter min mening, er et generelt problem i samfundet.

Med venlig hilsen
Mette Nikander/C-cure.dk

  • 3
  • 7
Chris Juneau

Mette

Du vælger selv at gøre reklame i et kommentarfelt, om du så lægger op til en debat igennem din reklame er en vidst en personlig vurdering

Det er vel forventet at det ikke bliver modtaget med helt åbne arme? nu er IT folk jo ikke lige frem kendt for at kunne lide invasive reklamer, lige gyldigt hvor smart man mener man laver dem

Udover det, så tror jeg alle teleselskaber har meget samme niveau af sikkerhed, som de af danske konsulentvirksomheder er blevet lokket til at tro er god nok

Tricket er nok flere tekniske konsulenter og mindre sælgere med gode ideer

  • 5
  • 2
Mette Nikander

Hej Chris,

Der er jo ikke tale om at gøre reklame, når man diskuterer emner herinde og hvis du referer til min signatur, så er det netop for at vise, at jeg udtaler mig som fagperson og for at vedstå mig mine udsagn.
Jeg synes derimod at det er trist, at man frit og uforstyrret, kan oprette alias såsom f.eks. Viggo Jensen herinde og anonymt kritisere og svine andre til. Det drejer jo debatterne i en unødvendig og usaglig retning, der hverken kan være i læsernes eller Version2's interesse.

Med venlig hilsen
Mette Nikander/C-cure.dk

  • 5
  • 5
Christian Nobel

Ja, det er forhåbentlig kutyme. For det jo netop det CPRnummeret er beregnet til.

Hvordan skulle firmaerne ellers kende forskel på Jens Jensen og Jens Jensen?

Computeren er opfundet (og selv før det kunne man såmænd også gøre det manuelt).

Det er det man har et kundenummer til, som udelukkende er et arbitrært nummer.

Firmaerne som så har intet behov/brug for at registrere individer på CPR nummer, og rent faktureringsmæssigt er det jo efterhånden også ligegyldigt, al den stund flere og flere tilknytter et betalingskort til aftalen, og dermed ingen risiko for selskabet.

  • 8
  • 0
Lasse Mølgaard

Tilbage til emnet:

Ud over den ret nedladende kommentar over for Mette, så syntes jeg denne kommentar var lidt rigeligt:

Mine gratis raad er du skal patche dine maskiner og lukke for ekstern administrativ adgang - UPS!

Jeg er ikke ansat i nogen IT relateret stilling, men selv jeg ved at patche en computer er ikke nok.

Jeg tvivler også stærkt på at 3 er blevet angrebet via denne angrebsvektor - det ville ganske enkelt være for amatøragtig.

Min bud er spear phising, med et program som sikkert indeholder en keylogger og diverse fjernbetjeningsmuligheder.

Hvis modtageren arbejder i regnskabsafdelingen, kan vi formode at offeret er tæt på de data hackeren vil have fat i?

  • 4
  • 0
Gert G. Larsen

Jeg synes derimod at det er trist, at man frit og uforstyrret, kan oprette alias såsom f.eks. Viggo Jensen herinde og anonymt kritisere og svine andre til.

Nåja for det er da helt umuligt at man hedder Viggo Jensen i Danmark ....

Er Mette overhoved den rigtige Mette, eller et anonymt Alias, der forsøger at udstille sikkerhedsvirksomheden i et dårligt lys? - Virksomheden der forresten får et C på ssllabs. Sig til hvis I vil købe nogle vokaler vedr certifikater :-D

Ontopic: Uanset om afpresserne sælger eller offentliggør information, er dataen jo kompromitteret. Så de pågældende ramte skal vel have nyt CPR-nummer. Er det efterhånden nemt at få?

  • 4
  • 2
Frank Pedersen

Ja selvfølgelig er 3's ledelse ligeglade så længe de ikke taber kunder. Det handler om at tjene penge, sådan er det altid når en teleoperatør når en vis størrelse. Jo større firmaet bliver, jo større r*vhu**er ansættes der i ledelsen, det hører sammen.

De håber velsagtens også at dette her får dem til at fremstå som ansvarlige og sikkerhedsbeviste. Det er de selvfølgelig ikke.

Blot det at NC3 er nævnt som de eneste involverede i efterforskningen siger vel det hele.

Det er trist og ærgerligt for de kunder der har fået lækket deres person følsomme data, men 3 har ikke noget at bekymre sig om for på mandag 8 dage, så er det jo glemt igen.

  • 3
  • 0
Niels Peter Gibe

Mit bud er, at de 3.600 profiler har ligget i en lille database, som en eller anden udvikler har brugt i et test/udviklings system. Bagefter har han brugt det i et andet lille lomme projekt, hvor DB filen så er røget med op i en commit til GitHub.
Det er set igen og igen....

  • 0
  • 0
Martin Nielsen

Min teori er at der er tale om et fingeret “hack” - hvilket helt sikkert bliver næste “trend” inden for afpresning.

Hvis man samler data fra de forskellige data-indbrud der har været, vil det ikke være svært at få adgang til kundernes selvbetjening, og dermed få det til at se ud som om at 3, eller en anden virksomhed, er blevet kompromitteret.

Det kan lyde som en "lang ude teori" - men hvorfor spilde tiden på at knække systemer, når log-ind data allerede er tilgængeligt? Det er jo blot at forsøge sig frem på diverse selvbetjeningssider, indsamle data når det lykkedes og så ellers vente, så flere af ens spor bliver slettet.

Med alle de data der er tilgængelige tror jeg at vi vil komme til at se rigtigt mange "falske" sager, hvor det ser ud som om at virksomheder er blevet kompromitteret - men hvor det i virkligheden er gammel data, der blot er blevet "opdateret" med information fra en selvbetjeningsside eller lignende.

  • 1
  • 0
Thomas Lodberg

Nåja for det er da helt umuligt at man hedder Viggo Jensen i Danmark ....


Gert, hvis du nu lige to dig tid til at se på "Viggo" profilen, så vil du se at den er oprettet igår.
Og det eneste den har været brugt til er 3 svinske kommentere på denne blok.
Først mod 3, og så to mod Mette.
Det får i hvert fald mine alarmklokker til at ringe.
Så jeg vil give Mette ret i at det sandsynligvis er en falsk profil.

  • 3
  • 1
Mette Nikander

Ork Frank,- det er skam taget ad notam;-)
Jeg kan også se, at langt de fleste herinde, ikke viser deres faglige baggrund, eller erhvervsmæssige tilhørsforhold, hvilket jeg ellers personligt ville foretrække. Særligt hvis jeg kan se en interessant ide i at indgå i en nærmere dialog med vedkommende uden for dette forum. Det kunne F.eks. være hvis vedkommende virker fagligt meget kompetent,at man ville indgå dialog omkring et engagement i fælles interessegrupper, det kunne være med et jobtilbud til vedkommende, eller omkring generel faglig sparring (og selvfølgelig ikke salgsorienteret;-))

  • 2
  • 0
svend eriksen

Frank ligner da ikke en Ork ... ?

Eller gør han.. jeg er jo ikke kvinde & kvinder ser jo tingene helt anderledes...
eller gør de.. ja nu er jeg helt forvirret..

Jeg snupper hurtigt en speltkiks med havtorn, fra Karen Volf, inden jeg dabber i seng... gaaaabbb Zzzzzzzzz

sov godt Ork Frank 8O)

  • 0
  • 1
Per Møller Olsen

For nyligt talte jeg med en person, der havde fået nyt CPR-nummer. Ikke på grund af hacking, men fordi sidste ciffer skulle laves om.

Vedkommende kunne så fortælle om det helt enorme kaos det udløser. Ikke mindst i forhold til patientjournaler, som ikke lige uden videre kan bindes sammen.

Og jeg talte med en anden, som har været udsat for identitetstyveri, og som meget gerne ville have et nyt CPR-nummer ... men som ikke kunne få det.

Så jeg tror, at det offentliges strudsetaktik mht. at opgive CPR-nr., handler om økonomi. Helt uoverskueligt store økonomiske og administrative problemer ved at ændre primærnøglen fra CPR-nr. til et tilfældigt genereret løbenr.

Og jo længere tid der går, jo flere data bindes op på CPR-nr. og dermed forøges omkostningerne. Det skulle have været lavet om for laaaaaang tid siden.

  • 2
  • 0
Log ind eller Opret konto for at kommentere
IT Company Rank
maximize minimize