Bij een hack van het Deense bevolkingsregister, het CPR, zijn de gegevens van 8,8 miljoen mensen buitgemaakt. Het gaat niet alleen om de ongeveer zes miljoen inwoners van Denemarken, maar ook om Denen die in het buitenland wonen en om overleden personen.
De inbraak vond in september plaats. De omvang werd pas later duidelijk. Het is de grootste hack uit de Deense geschiedenis. De aanvaller kwam binnen via Pays, een Deens IT-bedrijf dat toegang heeft tot systemen van meerdere overheidsinstanties. Drie medewerkers van het bedrijf gebruikten het wachtwoord 123456.
De hacker gebruikte vervolgens een AI-model om in korte tijd gegevens uit het register op te vragen. De aanvaller zei dat de actie bedoeld was om aan te tonen dat de digitale beveiliging van de Deense overheid tekortschiet, terwijl die overheid grote hoeveelheden persoonsgegevens verzamelt.
Veel partijen hebben toegang
De hack leidt tot vragen over de rol van kunstmatige intelligentie bij toekomstige cyberaanvallen. Volgens Thomas Ploug, hoogleraar data- en AI-ethiek aan de Universiteit van Aalborg, ligt het grootste probleem niet bij de technologie zelf, maar bij het grote aantal partijen dat toegang heeft tot gevoelige gegevens.
“De CPR is door veel bedrijven in te zien”, zegt Ploug. Volgens hem kunnen beperkingen op het aantal opvragingen een aanval vertragen, maar lossen zulke maatregelen het onderliggende probleem niet op. De gegevens kunnen dan nog steeds worden verzameld, alleen over een langere periode.
Denemarken verzamelt en bewaart al tientallen jaren grote hoeveelheden informatie. Daarbij krijgen bedrijven en onderzoekers volgens Ploug relatief gemakkelijk toegang. Hij wijst onder meer op mogelijke koppelingen tussen de supercomputer Gefion en genetische gegevens van het Deense Nationale Genoomcentrum. Dat kan het moeilijk maken om te controleren waarvoor gegevens en met die data getrainde AI-modellen worden gebruikt.
In 2024 ontstond ook ophef over genetische informatie uit hielpriktests bij baby’s. Die gegevens waren zonder toestemming van ouders gebruikt voor onderzoek naar mogelijke verbanden tussen genen, psychische diagnoses en stemgedrag.
AI-modellen kunnen volgens Ploug worden nagebouwd door veel gerichte verzoeken in te dienen. Daardoor kan soms gevoelige informatie over mensen in de trainingsgegevens worden achterhaald. Hij pleit daarom voor strengere toegangscontrole, voortdurende monitoring en meer openheid over welke gegevens worden opgeslagen en wie ze mag gebruiken.
