Fortrolig rapport: Digitaliseringsstyrelsen er særligt hacker-mål

En fortrolig sikkerhedsrapport, der er kommet til offentlighedens kendskab, afslører at Digitaliseringsstyrelsen — den myndighed der administrerer Danmarks digitale infrastruktur — er blevet identificeret som et særligt attraktivt mål for statslige hackere og cyberkriminelle.

Hvad rapporten afslører

Analysen, der er udarbejdet af sikkerhedseksperter med adgang til styrelens systemer, peger på en række kritiske sårbarheder. Blandt de mest alarmerende fund er eksponerede administratoradgange tilgængelige fra det åbne internet, samt kompromitterede credentials der cirkulerer på dark web-fora.

Digitaliseringsstyrelsen administrerer MitID, NemLog-in og en lang række kritiske statslige IT-systemer. En vellykket kompromittering kan potentielt give angribere adgang til et utal af offentlige tjenester og millioner af danskernes persondata.

Teknisk set: hvad er admin-eksponering?

Når administratorpaneler er tilgængelige fra internettet uden ordentlig beskyttelse, taler sikkerhedsmiljøet om "attack surface expansion". En angriber behøver ikke gennembryde en firewall, hvis indgangsportalen allerede er offentligt tilgængelig.

Kompromitterede credentials opstår typisk via phishing-angreb, credential stuffing (genbrug af lækkede passwords fra andre databrud) eller ved at medarbejdere bruger de samme passwords på tjenester uden tilstrækkelig adgangskontrol.

"Situationen er alvorlig. Digitaliseringsstyrelsen sidder på nøglerne til den danske stat. Eksponerede admin-adgange kombineret med kendte credentials er en opskrift på et større systemkompromis," udtaler en sikkerhedskonsulent med kendskab til rapporten til Version2.

Hvad risikerer borgerne?

Hvis en angriber får adgang til Digitaliseringsstyrelsens kerneinfrstruktur, kan konsekvenserne potentielt inkludere:

• Identitetstyveri i stor skala via MitID-kompromittering
• Adgang til følsomme CPR-data fra en lang række tilkoblede offentlige systemer
• Manipulation af offentlige registre — ejendoms-, køretøjs- og erhvervsregistre
• Afbrydelse af kritiske offentlige tjenester som skatteindberetning og sundhedsdata

Styrelsens reaktion

Digitaliseringsstyrelsen har ifølge Version2 ikke kommenteret rapportens specifikke fund, men bekræfter at de løbende arbejder med at styrke sikkerheden. Dette er imidlertid et svar, der er uhørt bekendt fra offentlige myndigheder — og eksperter er ikke imponerede.

I det bredere perspektiv er statslige myndigheder i hele EU under stigende pres fra sofistikerede angreb, herunder fra statslige aktører i Rusland, Kina og Nordkorea. NATO's cyberforsvarscenter (CCDCOE) har gentagne gange advaret om, at kritisk digital infrastruktur er et primært mål i moderne geopolitisk magtkamp.

Hvad bør man kræve?

For en myndighed af Digitaliseringsstyrelsens kritiske karakter bør minimumsstandarden inkludere:

• Zero-trust arkitektur — ingen adgang antages automatisk at være legitim
• Multi-faktor autentificering (MFA) på alle administratorkonti
• Kontinuerlig overvågning af credentials på dark web via threat intelligence
• Regelmæssige penetrationstest udført af uafhængige parter
• Offentlig transparensrapportering om hændelsesstatus

Rapporten burde aldrig have ventet på at lække — den burde have udløst offentlig redegørelse fra dag ét.