Fire hændelser på ti dage. Ét mønster. Og hvorfor svaret ikke kun er mere teknologi
Oct 15, 2026 · @Morten Efferbach
Jeg har brugt de sidste ti dage på at følge nyhederne lidt tættere, end jeg plejer. Først CPR-registret. Så franske supermarkeder, hvor kølediskene blev til varmeskabe. Så Femern-byggeriet. Og her til sidst tinglysningen.
Hver for sig er det fire forskellige historier. Lagt ved siden af hinanden er det én historie. Og den handler ikke primært om teknologi. Den handler om, hvad en virksomhed - eller et samfund - kan, når teknologien ikke virker.
Hvad skete der egentlig?
Lad mig starte med fakta, for de betyder noget.
CPR-registret. Uvedkommende misbrugte en dansk virksomheds helt lovlige adgang til CPR og hentede navne, adresser og CPR-numre på cirka 8,8 millioner personer. Adgangen gik gennem et lille fynsk firma med direkte opslagsadgang. Hullet stod åbent i mere end tre uger. Og det blev ikke opdaget af overvågningen - det blev opdaget, fordi en medarbejder undrede sig over en usædvanligt høj faktura.
De franske supermarkeder. Natten til mandag den 12. oktober kom nogen ind i styringen af kølesystemer fra Danfoss og skruede op for varmen. Omkring 400 Intermarché-, Netto- og Coopérative U-butikker blev ramt, nogle køleenheder nåede op på 50 grader, og butikkerne måtte kassere både friske og frosne varer. Danfoss oplyser, at de fleste ramte enheder var ældre modeller, som ikke længere får opdateringer. For tre af de nyere controllere havde der ligget en rettelse klar siden 18. september.
Femern. Det er ikke tunnelen, der er ramt, men hovedentreprenøren FLC. Medarbejderne fik besked på at holde sig fra wi-fi, computere og mails. Adgangskortsystemet var nede, så vagterne måtte registrere folk manuelt ved portene. Og flere skibe lå stille, fordi de ikke kan arbejde uden deres digitale systemer og data.
Tinglysningen. Her er der teknisk set ikke tale om et indbrud. Men på få dage kom der 17,2 millioner opslag i den del af systemet, der ikke kræver MitID - normalt er det under to millioner om ugen. Systemet fik driftsforstyrrelser, og Tinglysningsretten siger selv, at oplysningerne kan kombineres med andre data og gøre svindel mere troværdig. De henviser direkte til CPR-lækket.
Fire sager. Ti dage. Og det er værd at sige med det samme: Der er ingen offentlig dokumentation for, at de hænger sammen, eller hvem der står bag. Men man behøver ikke en fælles afsender for at se et fælles mønster.
Mønsteret
1. Indgangen er sjældent hoveddøren. CPR blev tømt via en lille leverandørs adgang. Femern blev ramt via entreprenøren. I Frankrig gik det gennem udstyr fra en leverandør, som sad i butikkerne. Ingen af de store organisationer blev nødvendigvis ramt i deres egen kerne. De blev ramt i deres forsyningskæde - der hvor ansvaret er delt, og hvor ingen rigtig ejer risikoen.
2. Det gamle bliver stående. Ældre kølestyringer, som ikke længere opdateres, men stadig er koblet på nettet. Det er ikke en teknologisk fejl. Det er en beslutning - eller rettere en manglende beslutning - om hvornår noget skal udskiftes.
3. Vi opdager det for sent, og ofte ved et tilfælde. En faktura. Et system der går i knæ af for mange opslag. Det er ikke detektion. Det er held.
4. Det digitale bliver fysisk. Skibe ligger stille. Mad bliver smidt ud. Vagter skriver navne ned på papir. Det er ikke længere "et it-problem". Det er drift, økonomi og i yderste konsekvens forsyningssikkerhed.
5. Data bliver farligere, når de lægges sammen. Navn og adresse fra ét sted. Ejendomsoplysninger fra et andet. Hver for sig harmløst. Sammen er det råmaterialet til en meget overbevisende svindelopringning.
Konteksten: Det er ikke tilfældigt, at det sker nu
Den 24. september hævede Styrelsen for Samfundssikkerhed trusselsniveauet for destruktive cyberangreb mod Danmark fra middel til høj. Begrundelsen er, at det vurderes sandsynligt, at Rusland vil forsøge destruktive angreb mod Danmark. Vi har allerede set det ske i lille skala - i slutningen af 2024 manipulerede pro-russiske hackere vandtrykket på et mindre dansk vandværk.
Samtidig er barren for at angribe faldet. Den formodede hacker bag CPR-lækket påstår, at programmet blev lavet med kunstig intelligens. Det er hackerens egen påstand, så den skal tages med et gran salt. Men den passer med det, flere eksperter siger lige nu: Der er en asymmetri mellem angreb og forsvar, og den går den forkerte vej.
Hvorfor mere teknologi ikke er hele svaret
Nu kommer den del, som nogle vil være uenige i.
Teknologi er nødvendig. Man skal patche, segmentere, overvåge og begrænse adgang. Det siger sig selv. Men se på sagerne igen. I Frankrig fandtes rettelsen allerede for en del af udstyret. I CPR-sagen var det ikke teknologien, der slog alarm, men et menneske, der kiggede på en regning. Ved Femern var det ikke et system, der holdt driften kørende ved portene - det var vagter med papir og kuglepen.
Teknologien svarer på spørgsmålet: Hvordan undgår vi at blive ramt?
Den svarer ikke på det spørgsmål, som faktisk afgør, hvor hårdt det rammer: Hvad gør vi, når vi er ramt?
Og det er her, de fleste bestyrelser og direktioner står uden et svar. Ikke fordi de er uansvarlige, men fordi de aldrig har tvunget sig selv til at beslutte det på forhånd.
Minimum Viable Company - det analoge svar på et digitalt problem
Minimum Viable Company (MVC) er det, jeg har arbejdet med de seneste år, og det er i mine øjne det mest troværdige svar på netop det spørgsmål. Ikke som erstatning for teknologi, men som det lag, der mangler, når teknologien svigter.
Tanken er enkel: Hvad er det absolut mindste, din virksomhed skal kunne levere, når de digitale systemer er væk - og hvordan gør I det?
Det lyder banalt. Det er det ikke. For at svare på det skal ledelsen træffe en række beslutninger, som ellers aldrig bliver truffet:
• Hvilke funktioner er kritiske? Ikke alt er lige vigtigt. Hvad skal køre i time 1, dag 1 og uge 1?
• Hvad er den analoge plan B? Hvis adgangskortene er nede, hvem står så ved porten, og hvad skriver de ned? Hvis kølestyringen er kompromitteret, hvem tjekker så temperaturen manuelt - og hvornår trækker man stikket?
• Hvem må beslutte hvad, når der ikke er tid til at spørge? Beslutningsret, mandater og eskalering skal være på plads, før krisen, ikke under den.
• Hvem i forsyningskæden kan ramme os? Og hvor meget kan de hente ud, hvis deres adgang bliver misbrugt?
• Hvordan opdager vi det? Hvis svaret er "når regningen kommer", er der arbejde at gøre.
Læg mærke til, at FLC's vagter ved portene i praksis gjorde præcis det, MVC handler om. De holdt den mest basale funktion kørende manuelt. Forskellen er bare, om det sker improviseret og i panik - eller fordi det er besluttet, beskrevet og øvet på forhånd.
Det handler i sidste ende om beslutningsprocesser
Det er derfor, jeg kalder det et ledelsesspørgsmål og ikke et it-spørgsmål. Med NIS2 er bestyrelsens ansvar for cybersikkerhed ikke længere til diskussion. Men ansvaret bliver ikke løftet af en ny firewall. Det bliver løftet af en ledelse, der har besluttet, hvad der skal ske, når det går galt - og som har øvet det.
De sidste ti dage har vist, at spørgsmålet ikke er, om det sker. Det er, hvor forberedt man er, når det gør.
Så mit spørgsmål til dig, der sidder i en bestyrelse eller en direktion, er ret enkelt: Hvis jeres vigtigste system gik ned i morgen klokken 6, ved I så, hvad I skal gøre klokken 7?
Hvis svaret ikke kommer med det samme, er det dér, arbejdet starter.
Jeg kører næste 1-dags MVC workshop den 21. oktober, hvor vi gennemgår metoden og slutter med en krisesimulation. Skriv til mig, hvis du vil høre mere.
Kilder
• TV 2: Nye detaljer om cpr-skandale
• Nordjyske: Program bag CPR-læk var skabt af kunstig intelligens
• Cybernews: Refrigeration cyberattack hits French supermarkets
• The Hacker News: Attackers Heat French Supermarket Fridges Up to 50°C
• Folketidende: Femern-byggeriet ramt af stort hackerangreb
Styrelsen for Samfundssikkerhed via Ritzau:Truslen fra destruktive cyberangreb hæves til høj
Kommentarer