Det første jeg tænkte på da jeg læste koden...

Det er nemt at stå på sidelinjen og brokke sig, men hold kæft hvor er det tåbeligt, at det først bliver fanget i forbindelse med fakturering. Det burde ikke være muligt at have en 6-cifret kode, der burde være 2 faktor godkendelse, der burde være noget der reagerer på massive forespørgsler og så videre og så videre. What the fuck.

Til gengæld er det også endnu et argument for at etablere Megabælt!

Såååå, hvilken virksomhed????

DR arbejder fortsat på en kommentar fra virksomheden og navngiver af den grund på nuværende tidspunkt ikke virksomheden.

Men mon ikke nogle andre finder ud af det ret snart.

Det var ikke svært at finde frem til virksomheden vha. det citat dr.dk nævner var på deres hjemmeside.

Er det lovligt at dele hvilket firma det var?

Det rimer på gays

Især ved et firma der puster sig op som værende indenfor IT sikkerhed.

Ja, firmaet kunne have gjort det bedre, men jeg ville mene at fejlen ligger hos dem der har bygget login systemet. Der burde have været bedre krav til kodeord

Jamen de havde jo tilføjet 6-tallet for at gøre det sikkert 😆

Enig, men hvis man er indenfor sikkerhed, bruger man ikke kodeord der kun er 6 tal 😀

Så vidt jeg ved, er der ikke nedlagt navneforbud af en domstol, så det er vist "bare" de presseetiske regler der er i spil lige nu.

Det burde der af princip ja, men det er vel lidt irrelevant her? Hvis koden er dukket op i et datalæk som artiklen lægger op til, var koden jo dukket op uanset om den var 123456 eller xz4zscH#d#HqS0$26Bep. Problemet her er vel snarere, at medarbejderen bruger samme kode flere steder(?) og at der ikke benyttes 2 faktor på login systemet.

EDIT: https://www.dr.dk/nyheder/indland/it-ekspert-saver-sikkerheden-over-i-fynsk-virksomhed-der-er-i-centrum-cpr-databrud

DR har ved almindelige søgninger på internettet fundet en offentligt tilgængelig underside på Pays' hjemmeside, der ligner et værktøj til validering eller datavask af CPR-oplysninger, e-mails og adresser.

Ifølge arkiverede versioner af siden kan der findes spor af den helt tilbage til begyndelsen 2023. Sent torsdag gik siden offline.

Ud fra det der virker det som om, at det er Pays eget loginsystem, hvor man via undersiden og 123456 login kunne få indirekte adgang til CPR registeret...

Jeg vidste det! Jeg køber krafteddeme aldrig deres chips igen

TV2.dk melder, at det er Pays ApS.

Ah, det handlede vel bare om tid. Men mærkeligt at de offentliggører det, når DR ikke ville gøre det.

Det synes jeg egentlig ikke. DR vil ikke fortælle det, før de får svar fra virksomheden.

TV2 har fået svar:

skriver Pays' administrerende direktør og ejer Sophie Laursen i en mail til TV 2 i den første udtalelse til pressen.

, og derfor går de videre med historien. Jeg tænker DR også opdaterer deres artikel lige om lidt.

Ja okay, giver mening så.

Ja, så er jeg helt enig

Ingen tvivl om at denne sag bare bliver mere og mere absurd. Jeg håber fortsat at proceduren ændres, så én virksomhed ikke kan trække bare 1000+ CPR-numre uden at blive blokeret 🤞

Jeg håber fortsat at proceduren ændres så virksomheder slet ikke kan trække noget som helst data fra noget så dumt som et CPR-nummer.