Er dit CPR-nummer lækket? Det skal du gøre nu

Kort svar: Gå ud fra, at det er. Myndighederne har bekræftet, at uvedkommende har haft adgang til navne, adresser og CPR-numre på omkring 8,8 millioner mennesker. Det er stort set alle, der har haft et CPR-nummer.

Men tag det roligt. Et CPR-nummer alene er ikke nok til at komme ind på din netbank eller dit MitID. Det farlige er, at svindlere nu kan lyde meget mere troværdige, når de ringer eller skriver til dig.

Hvad er der sket?

Den 5. oktober 2026 fortalte Digitaliseringsministeriet, at nogen havde misbrugt et dansk firmas lovlige adgang til at slå op i CPR-registret. Det skete i september 2026.

• Hvem: Adgangen tilhørte Pays ApS, et lille IT-firma i Odense. Direktøren har bekræftet over for TV 2, at firmaets adgang blev misbrugt.

• Hvor mange: Omkring 8,8 millioner mennesker. Tallet tæller også døde og folk, der er flyttet fra Danmark. CPR-registret har i alt cirka 11 millioner personer.

• Hvilke oplysninger: Navne, adresser og CPR-numre med mere.

• Hvor længe: Cirka tre uger fra 10. september. Der blev lavet omkring 14 millioner opslag.

• Hvordan det blev opdaget: CPR-administrationen så usædvanlig aktivitet fredag den 2. oktober. Regningen for opslagene var usædvanligt høj.

• Kodeordet: Ifølge Politiken brugte mindst tre af firmaets konti, herunder en administrator, kodeordet "123456". Myndighederne har ikke bekræftet, at det var sådan, hackeren kom ind.

Firmaets adgang er lukket, sagen er anmeldt til Datatilsynet, og politiet efterforsker. Gerningsmanden er endnu ikke kendt.

Er jeg ramt?

Sandsynligvis ja. Der findes ingen side, hvor du kan slå op, om netop dit CPR-nummer er med, så gå ud fra, at det er.

Den eneste gruppe, der ikke er ramt, er personer med navne- og adressebeskyttelse.

Hvad kan svindlerne bruge det til?

Et CPR-nummer er ikke en adgangskode. Ingen kan logge ind på dit MitID eller din netbank med det alene.

Men det kan bruges til at snyde dig til at give mere fra dig:

• Falske opkald fra "banken" eller "politiet". Svindleren kender dit navn, din adresse og dit CPR-nummer. Det får opkaldet til at lyde ægte.

• SMS'er og mails, der ligner myndigheder. "Dit CPR-nummer er lækket, bekræft din identitet her." Det er præcis den slags besked, du skal forvente nu.

• Forsøg på at oprette ting i dit navn. Hos virksomheder, der kun tjekker navn og CPR-nummer.

Et CPR-nummer kan som udgangspunkt ikke skiftes. Derfor er det din adfærd, ikke dit nummer, der beskytter dig.

Det skal du gøre nu

1. Del aldrig koder. Hverken MitID-koder, adgangskoder eller koder fra SMS, uanset hvor meget den, der ringer, ved om dig.

2. Læg på og ring selv op. Ringer "banken", så læg på og ring til det nummer, der står på dit kort eller bankens hjemmeside.

3. Klik ikke på links om CPR-lækket. Ingen myndighed beder dig bekræfte din identitet via et link i en SMS.

4. Hold øje med post og konti. Kig dine kontoudtog igennem, og reager på breve om ting, du ikke har bestilt.

5. Slå to-trins-login til på mail, Facebook og andre konti, der kan bruges til at nulstille kodeord.

6. Fortæl det til familien. Især ældre forældre og bedsteforældre, som svindlere ofte går efter.

Er du i tvivl, kan du få råd på sikkerdigital.dk eller hos Cyberhotline på 33 37 00 37.

Hvis du driver en virksomhed

CPR-sagen er en påmindelse til alle virksomheder, der har adgang til persondata:

• Svage kodeord kan koste millioner. Ifølge Politiken var kodeordet "123456" på en administratorkonto. Brug lange, unikke kodeord og to-faktor på alt.

• I er ansvarlige for jeres adgange. Har I adgang til registre, kundesystemer eller lønsystemer, skal I vide, hvem der bruger dem, og lukke adgangen, når folk stopper.

• Overvåg forbruget. Det var en høj regning, der afslørede sagen. Hvor hurtigt ville I opdage, at nogen brugte jeres adgang?

• Forbered jeres medarbejdere. Svindlerne kender nu navn og CPR-nummer på jeres ansatte og kan ringe og udgive sig for at være IT-afdelingen eller banken.

Sådan hjælper vi

• Privat: Med Beskyt computeren har du en dansker i røret, når et opkald, en SMS eller en mail virker forkert. Ring på 82 82 82 35.

• Virksomheder: Vi sætter to-faktor og stærke adgange op, træner medarbejderne med Phish Insights og hjælper med GDPR og compliance. Ring på 82 82 82 95.

Læs også:

• Sådan beskytter du dig selv i Black October: 5 trin

• Black October forklaret: de fem trusler, og hvad I skal gøre

• For godt til at være sandt: Afslør svindlerne

Ofte stillede spørgsmål

Er mit CPR-nummer lækket?

Sandsynligvis. Omkring 8,8 millioner mennesker er ramt, og der findes ingen offentlig side, hvor du kan tjekke dit eget nummer. Gå ud fra, at du er ramt.

Hvilken virksomhed har lækket CPR-numrene?

Adgangen tilhørte Pays ApS, et IT-firma i Odense med lovlig adgang til CPR-registret. Firmaets adgang blev misbrugt af en uvedkommende.

Kan nogen tømme min konto med mit CPR-nummer?

Nej, ikke med CPR-nummeret alene. Det kræver dit MitID og dine koder. Derfor må du aldrig dele dem.

Kan jeg få et nyt CPR-nummer?

Som udgangspunkt nej. Derfor er det vigtigste at være på vagt over for opkald og beskeder.

Hvem er ikke ramt?

Personer med navne- og adressebeskyttelse er ikke ramt.

Hvor kan jeg få hjælp?

Hos Cyberhotline på 33 37 00 37, på sikkerdigital.dk eller hos os, hvis du er kunde.

Kilder

• Forsknings-, Uddannelses- og Digitaliseringsministeriet: Omfattende uautoriseret adgang til borgeres CPR-oplysninger (5. okt 2026)

• CPR-kontoret: Omfattende uautoriseret adgang til borgeres CPR-oplysninger

• Udlændinge- og Integrationsministeriet: Sådan skal du forholde dig

• eSecurity Planet: Denmark data breach exposes 8.8M people

• Cybernews: "123456" linked to breach of 8.8M Danes