Þjófar komust yfir nöfn, heimilisföng og kennitölur um 8,8 milljóna manna úr þjóðskrá Danmerkur í september. Dönsk yfirvöld segja nú að kennitala ein og sér sanni ekki hver maður er. Sama gildir hér heima: sá sem þekkir kennitöluna þína, heimilisfangið eða bókunina þína hefur ekki sannað hver hann er.
Hvað gerðist í Danmörku?
Dönsk yfirvöld greindu frá alvarlegu öryggisatviki í þjóðskránni, CPR, 5. október. Hver einstaklingur í skránni er með tíu stafa CPR-númer, svipað og kennitalan okkar.
Óþekktir aðilar misnotuðu löglegan aðgang lítils dansks fyrirtækis sem mátti fletta upp í skránni. Í um tíu daga í september söfnuðu þeir nöfnum, heimilisföngum og CPR-númerum um 8,8 milljóna manna. Talan er frá danska ráðuneytinu og hún er ekki endanleg. Í hópnum eru fólk sem býr í Danmörku, fólk sem er látið og fólk sem hefur flutt úr landi. Að sögn skrárinnar voru nöfn og heimilisföng þeirra sem njóta nafnaverndar ekki tekin.
Upp komst um málið í byrjun október. Danska fréttastofan Ritzau segir að fyrirtækið hafi fengið óvenjuháan reikning, því hver fyrirspurn í skrána kostar peninga. Aðgangi fyrirtækisins hefur verið lokað og danska lögreglan rannsakar málið. Enn er ekki vitað hver stendur að baki eða hvernig gögnin verða notuð. Ráðherrann sem ber ábyrgð á skránni segir að öryggið í kringum þennan aðgang hafi ekki verið nógu gott. Heildarúttekt á öryggi CPR-kerfisins er hafin.
Danir brugðust hratt við. Hinn 7. október höfðu um 970.000 manns sett lánaviðvörun á skráningu sína, en þeir voru tæplega 250.000 hinn 1. október. Lánaviðvörun segir fyrirtækjum að kanna vel hver þú ert áður en þau lána peninga í þínu nafni.
Danska ríkið segir að ekki sé lengur hægt að treysta CPR-númeri einu og sér sem sönnun á því hver maður er. Danskar lyfjabúðir segja að CPR-númerið dugi yfirleitt ekki lengur til að sækja lyf.
Snertir þetta Íslendinga?
Skráin nær líka yfir fólk sem bjó í Danmörku og flutti burt. Margir Íslendingar hafa búið, unnið eða verið í námi í Danmörku. Ef þú ert einn af þeim er mögulegt að upplýsingar um þig séu í gögnunum. Engin opinber heimild hefur nefnt Íslendinga, svo líttu á þetta sem möguleika og ekki staðreynd.
Lærdómurinn á líka við okkur hin. Þegar svikari veit nafnið þitt, heimilisfangið og kennitöluna verða svikaskilaboð og símtöl miklu trúverðugri. Jens Myrup Pedersen, prófessor í netöryggi í Danmörku, orðar það svona: „Því meiri upplýsingar sem til eru um fólk, því trúverðugri árásir er hægt að búa til.“
Dönsk yfirvöld vara við því að svikarar hafi þegar samband við fólk með smáskilaboðum, tölvupósti og símtölum. Þeir biðja um bankareikninga, innskráningu í MitID og aðrar persónuupplýsingar.
Fleiri mál komu upp í vikunni. Fataverslunin Asos staðfesti að tölvuþrjótar hefðu komist yfir nöfn og samskiptaupplýsingar viðskiptavina. Slíkar upplýsingar nýtast til að láta næstu svikaskilaboð líta út fyrir að vera ekta.
Hér á landi gefum við kennitöluna upp á hverjum degi, í búðinni, hjá lækninum og í síma. Hún er gagnleg en margir þekkja hana. Reglan er því einföld: þótt einhver viti kennitöluna þína, heimilisfangið eða bókunina þína hefur hann ekki sannað hver hann er.
Hvernig verst þú?
Þessi ráð byggja á leiðbeiningum danskra yfirvalda og þau duga jafn vel á Íslandi.
Farðu varlega þegar einhver hefur óvænt samband. Taktu sérstaklega eftir skilaboðum, símtölum og tölvupósti þar sem sendandinn notar upplýsingar um þig.
Smelltu ekki á tengla í óvæntum skilaboðum. Opnaðu vef fyrirtækisins eða stofnunarinnar beint, eða hringdu í aðalnúmerið sem þú flettir upp.
Gefðu engum innskráningu eða kóða. Rafræn skilríki, einnota kóðar, lykilorð og kortanúmer eru þín. Bankinn og stofnanir biðja ekki um þau í skilaboðum eða síma.
Gefðu þér tíma. Svikarar reyna að láta þig flýta þér. Það er alltaf í lagi að leggja á og kanna málið.
Ef þú ert með danskt CPR-númer getur þú sett lánaviðvörun á borger.dk. Danska netöryggislínan í síma +45 33 37 00 37 aðstoðar líka.
Þrjú ráð til að fara yfir aðganginn þinn
Valmyndirnar hér fyrir neðan heita þetta á ensku. Í íslensku viðmóti geta heitin verið önnur.
1. Láttu Google fara yfir aðganginn þinn
Skráðu þig inn á Google-aðganginn þinn, smelltu á myndina þína efst til hægri og veldu Recommended actions. Þá opnast Security Checkup með ráðum fyrir þig, til dæmis að kveikja á tveggja þrepa staðfestingu eða búa til passkey. Með passkey skráir þú þig inn með fingrafari, andliti eða skjálás símans og svikari getur ekki fengið hann hjá þér fyrir mistök. Ef „Recommended actions“ birtist ekki ferðu í Manage your Google Account > Security & sign-in. Grænn skjöldur þýðir að þú þarft ekkert að gera.
2. Gáðu að falinni áframsendingu í Gmail
Áframsendingarregla getur sent afrit af póstinum þínum til annars manns án þess að þú takir eftir því. Opnaðu Gmail í tölvu og smelltu á tannhjólið, svo See all settings. Skoðaðu flipann Forwarding and POP/IMAP og síðan flipann Filters and Blocked Addresses. Ef þú sérð áframsendingu eða síu sem þú bjóst ekki til skaltu breyta lykilorðinu strax og slökkva á áframsendingunni.
3. Sjáðu hver hefur skráð sig inn á Microsoft-aðganginn
Skráðu þig inn á account.microsoft.com/security og veldu Review activity. Þar sérðu innskráningar og breytingar síðustu 30 daga. Ef eitthvað undir Unusual activity varst ekki þú opnar þú það og velur This wasn't me. Ef eitthvað undir Recent activity lítur grunsamlega út velur þú Secure your account og breytir lykilorðinu. Fáir þú viðvörun „frá Microsoft“ í tölvupósti skaltu ekki smella á tenglana í honum. Skráðu þig frekar inn beint á vefnum.
Heimildir
CPR-administrationen: Omfattende uautoriseret adgang til borgeres CPR-oplysninger (5. október 2026)
Beskæftigelses- og Ligestillingsministeriet: Advarsel om forsøg på svindel (5. október 2026)
The Hacker News: Denmark Says Attackers Accessed CPR Data for 8.8 Million People (6. október 2026)
The Copenhagen Post / Ritzau: Nearly one million Danes add credit warnings (8. október 2026)
TechCrunch: Asos confirms breach of customer data (8. október 2026)
Google: Take a Security Checkup · Gmail: Automatically forward messages · Microsoft: Recent activity