CPR号码泄露后，丹麦人最想知道的这些问题

我在 e-Boks 收到的信息还能相信吗？CPR号码泄露后，丹麦人最想知道的这些问题昨天有消息披露，黑客滥用了某家丹麦企业的系统访问权限，从CPR系统中获取了大量CPR号码。
今天上午，大家可以向DR法律记者 Louise Dalsgaard 和安全专家 Sofie Freja Christensen 提问。以下是其中一些问题及回答。

---

现在大约有900万个CPR号码、姓名和地址落入黑客手中，我到底应该有多担心？什么时候尤其需要提高警惕？
DR网站邀请读者就此次事件应该如何应对提出问题，由DR法律记者 Louise Dalsgaard 和安全专家 Sofie Freja Christensen 回答。

---

可以只凭CPR号码申请信用卡吗？一位读者询问：能不能利用别人的CPR号码申请信用卡？
用户Mikkel表示，他听说过很多诈骗案例，骗子只需要很少的信息就能进行诈骗。

“可以申请信用卡吗？还可以买东西吗？”

DR法律记者 Louise Dalsgaard 表示，目前不需要因此过度担心，虽然她理解人们为什么会对此感到疑虑。
幸运的是，骗子和犯罪分子仅凭你的CPR号码，不能直接申请信用卡或贷款，也不能直接用它购买东西。
如果他们掌握CPR号码以及其他个人信息，他们确实可以尝试进行诈骗。但丹麦贷款相关法律规定，在申请贷款时需要通过 MitID 进行身份确认，以确保申请人的身份。
她解释说，骗子经常利用CPR号码、地址以及配偶姓名等个人信息，来建立信任感，从而欺骗受害者。

---

为什么不干脆取消CPR号码，建立一个更安全的系统？一些人在昨天的数据泄露事件曝光后提出，是否应该借此机会彻底更换现有系统。
安全专家 Sofie Freja Christensen 表示，取消这个10位数字当然是可以考虑的，但问题在于CPR号码已经被整合进大量系统。
真正的问题并不是CPR号码本身，而是：

在某些地方，CPR号码至今仍被当作证明“你就是你所声称的那个人”的依据。

不过这种情况已经比较少，主要出现在电话办理业务时。
专家认为，丹麦实际上已经拥有更安全的身份验证系统，那就是 MitID。
真正需要改变的是：

• CPR号码绝不能单独作为身份认证依据；
• 对谁能够访问注册信息，需要进行更加严格的控制和监控。
  

---

我在 e-Boks 收到的信息到底有多安全？一位用户Theo询问：现在收到的 e-Boks电子信件是否仍然可以放心相信？
他担心，黑客或者购买了被盗个人信息的人，现在是否更容易发送看起来非常真实的假信件。
安全专家 Sofie Freja Christensen 表示，原则上，e-Boks中的信件仍然是安全的。
DR也向e-Boks进行了确认。
e-Boks方面表示：
此次CPR数据泄露本身，并不会让犯罪分子获得通过e-Boks发送电子信件的权限。
因此，CPR泄露事件不会改变e-Boks收发电子信件本身的安全性。
不过，如果有人非法进入某家企业或政府机构的IT系统以及其发信系统，那就是另一种情况。
e-Boks传播总监 Susanne Søndahl Wolff 表示，因此企业和政府机构必须保护好自己的系统和访问权限。
但对于普通公民来说：

仍然可以像数据泄露事件发生之前一样信任自己在e-Boks中收到的电子信件。

---

这次泄露会不会导致我的前夫找到我？一位名叫Gitte的用户表示，她非常担心这次泄露会影响自己的人身安全。
她说，如果自己的地址被泄露，她可能不得不再次搬家，以确保自己不被前夫找到，而搬家无论在经济上还是心理上都是很大的负担。
对此，Louise Dalsgaard表示可以理解她的担忧。
如果一个人在CPR系统中已经申请了姓名和地址保护（navne- og adressebeskyttelse），情况会相对安全。
目前官方的信息是：

此次事件中的“未经授权人员”目前并没有获得那些受到姓名和地址保护人员的数据。

因此，拥有姓名和地址保护的人目前可以稍微放心一些。
DR记者还指出，丹麦数字化部长昨天已经要求对整个系统的安全状况以及相关责任人进行全面调查。
因此，她认为：
这件事情很可能会带来改变，现有系统不会简单地继续按照目前的方式运行。

---

为什么可以在没有触发警报的情况下获取近900万个CPR号码？用户Niels Christiansen对此感到非常疑惑：
第三方究竟是怎么滥用一个敏感数据库的访问权限，并且在没有触发警报的情况下获取近900万个CPR号码的？
安全专家 Sofie Freja Christensen 表示，目前掌握的信息还不足以完全回答这个问题。
但她认为，这起事件暴露出了一个非常典型的安全漏洞：
过去更多关注的是如何保护系统本身，而较少关注：

那些已经获得授权的用户，实际上是如何使用自己的访问权限的。

她指出，丹麦在 MitID 等项目上取得了很大的成功，但也有一些数字化项目出现过问题。
其中一个需要进一步加强的领域就是：
第三方访问风险（Tredjepartsrisiko）无论是政府机构还是私人企业，未来都需要更加重视第三方获得数据访问权限后，如何监控和限制其使用方式。

简单总结：这次事件最值得注意的并不是“别人知道你的CPR号码就可以直接盗刷或贷款”，而是CPR号码不应该再被单独当作身份认证依据。e-Boks本身目前仍然被认为是安全的，但政府和企业需要加强对拥有数据访问权限的第三方的监管。