Hacker maakte met AI gegevens van 8,8 miljoen Denen buit

Hoe kwam de hacker bij het Deense register?

De hacker hoefde geen ingewikkeld programma te schrijven. Hij kwam binnen via Pays, een Deens IT-bedrijf dat toegang biedt tot meerdere overheidsinstanties. Drie medewerkers van dat bedrijf gebruikten het wachtwoord 123456.

Daarna liet hij een AI-model het werk doen. Volgens NRC verzamelde hij zo binnen enkele dagen de gegevens van 8,8 miljoen mensen. Dat zijn niet alleen inwoners van Denemarken, want het gaat ook om Denen in het buitenland en om overleden mensen.

De Deense krant Politiken kreeg contact met de hacker, maar kwam niet achter zijn identiteit. Volgens die hacker moest de aanval laten zien hoe slecht de overheid haar digitale veiligheid regelt. Dat hij dit zegt, is niet gecontroleerd.

Is AI het probleem bij de CPR-hack?

Volgens Thomas Ploug niet. Hij is hoogleraar data- en AI-ethiek aan de Universiteit van Aalborg. Tegen NRC zegt hij: "Het grootste probleem is dat er veel data wordt verzameld zonder dat de Denen weten wat, waar en hoe."

Het register is voor veel partijen te raadplegen, van webwinkels tot artsen. Een limiet op het aantal opvragingen helpt volgens Ploug niet, want "het uiteindelijke resultaat is hetzelfde, alleen duurt het wat langer". AI maakt het verzamelen dus vooral sneller.

Ploug wijst ook op een tweede risico. Overheden en bedrijven gebruiken gevoelige gegevens steeds vaker om AI-modellen te trainen. Met genoeg verzoeken kan zo'n model volgens hem worden nagebouwd, waarna je informatie over de mensen achter de data kunt achterhalen.

Wat moet er in Denemarken nu veranderen?

Ploug noemt de hack een wake-upcall voor politici. Volgens hem is toestemming van burgers alleen niet genoeg. Toegang tot gegevens moet worden beperkt en bijgehouden.

Ook moet de overheid openlijk zeggen welke gegevens ze opslaat en wie er bij kan. Dat is niet eenvoudig, omdat het probleem volgens hem ligt in de enorme hoeveelheid verzamelde data.

Ook jij kunt iets doen. Gebruik op je werk geen wachtwoord als 123456 en kies voor elk account een eigen wachtwoord. De hack in Denemarken begon met precies zo'n zwakke plek.