Sex siffror och miljontals personnummer — hur ett påstått danskt dataintrång kan ha skett med lösenordet '123456'

När det enkla är det farligaste

Det finns en paradox i den moderna cybersäkerhetsdebatten: vi lägger miljarder på avancerade skyddssystem, hotanalyser och krypteringslösningar — och sedan lämnar vi ytterdörren vidöppen med ett hänglås från leksaksaffären.

Det är i princip vad som verkar ha hänt i Danmark. Enligt uppgifter i den danska tidningen Politiken, som även rapporteras av DI Digital, kan ett av landets mest omfattande dataintrång ha genomförts med hjälp av lösenordet '123456'. En anonym hackare påstår sig ha tagit sig in i ett system som innehöll miljontals danska personnummer — utan att behöva göra mer än att skriva en kombination som vilken tioåring som helst kan komma på.

Myndigheterna har ännu inte bekräftat alla detaljer och utredningar pågår, men om uppgifterna stämmer är det en skarp och obehaglig väckarklocka.

Personnumret — en nyckel till hela ditt liv

För att förstå allvaret i det inträffade behöver man förstå vad ett personnummer faktiskt är. I Danmark, precis som i Sverige, fungerar personnumret som en digital identitet kopplad till i princip allt: vård, bank, myndigheter, försäkringar och skatt. Det är inte bara en siffra — det är nyckeln till din ekonomiska och administrativa tillvaro.

Vid missbruk kan personnummer användas för identitetsstölder, kreditbedrägerier och andra former av ekonomisk brottslighet. Konsekvenserna för drabbade medborgare kan vara långvariga och svåra att reda ut. Det handlar inte om en tillfällig olägenhet — det kan påverka folks liv i flera år.

Problemet är inte tekniken — det är kulturen

Här är den viktigaste insikten, och den som jag vill att vi stannar upp vid: detta är inte ett tekniskt problem. Tekniken för att skydda system med starka lösenord, flerfaktorsautentisering och åtkomstkontroll har funnits i decennier. Verktygen är mogna. Kunskapen finns tillgänglig.

Det vi ser är ett kulturproblem. En säkerhetskultur inom offentlig sektor som fortfarande, år 2024, tillåter att känsliga system skyddas av lösenord som '123456'. Det handlar om bristande rutiner, otillräcklig utbildning, avsaknad av tekniska spärrar och — vilket kanske är mest oroande — en organisatorisk likgiltighet inför riskerna.

Detta är inte unikt för Danmark. I Sverige har Datainspektionen, numera Integritetsskyddsmyndigheten (IMY), vid upprepade tillfällen granskat och kritiserat myndigheter och kommuner för bristande informationssäkerhet. Skolor, regioner och statliga verksamheter har alla figurerat i rapporter om otillräckligt skydd av känsliga personuppgifter. Den danska händelsen är extrem i sin enkelhet, men problembilden är välbekant i hela Norden.

Möjligheten mitt i krisen

Jag är genuint optimistisk — och det av ett konkret skäl. Vi befinner oss i ett unikt ögonblick där AI och automatisering faktiskt kan hjälpa oss att lösa just dessa strukturella säkerhetsbrister, om vi väljer att använda dem rätt.

AI-drivna säkerhetssystem kan i realtid identifiera avvikande inloggningsmönster, flagga svaga autentiseringslösningar och automatisera regelefterlevnad på ett sätt som mänskliga processer aldrig kan matcha i skala. Flerfaktorsautentisering kan rullas ut automatiserat. Lösenordspolicyer kan tekniskt omöjliggöra kombinationer som '123456'. Det är inte raketforskning — det är välbeprövad teknik som är redo att användas nu.

Men teknik utan ledarskap är verkningslöst. Det behövs politisk vilja, tydliga krav och en offentlig sektor som på allvar tar sitt ansvar som förvaltare av medborgarnas mest känsliga uppgifter.

Den danska händelsen borde fungera som ett kraftfullt argument i de budgetdiskussioner och ledningsgrupper där säkerhetsfrågorna fortfarande behandlas som en kostnad snarare än en investering. Priset för att inte agera är uppenbarligen mycket högre.