Alvorligt hul hos KMD: Borgere kunne snage i andre folks lønsedler

Da det i juni kom frem, at et sikkerhedshul i KMD's it-system til 80 kommuner havde stået pivåbent i 12 år, var det ikke første gang, man havde identificeret en brist.

For mens den i forvejen kendte sag handlede om læk af cpr-numre, viser det sig nu, at man få uger forinden havde været nødt til at lukke et andet og mere alvorligt hul. Et hul, der gav uvedkommende borgere mulighed for at snage i andre borgeres lønsedler, email-korrespondancer med kommunen og andre personlige oplysninger.

Finans har fået aktindsigt i sagen ved Digitaliseringsstyrelsen, der blev gjort opmærksom på fejlen, da en borger fra Frederiksberg den 21. april skrev en mail til borger.dk.

»Hej. Når jeg logger på Digital Pladsanvisning, kan jeg se andres lønsedler, hvilket ikke burde lade sig gøre,« skrev borgeren, som Finans har været i kontakt med, men som ikke ønsker at få sit navn frem.

Personen loggede på Digital Pladsanvisning via Frederiksberg Kommune. Her kunne han bl.a. se en skolelærers lønsedler og lærerens kommunikation med en skolesekretær i Københavns Kommune om en fejl på lønsedlerne.

For at forstå omfanget af fejlen loggede borgeren også på Digital Pladsanvisning i Aarhus Kommune. Her var der ligeledes adgang til andres fortrolige oplysninger.

Aktindsigten viser, at så snart Digitaliseringsstyrelsen blev opmærksom på problemet via borger.dk, skrev en af styrelsens kontorchefer, Helle Junge Nielsen, ud til medarbejdere i Kommunernes Landsforening, Aarhus Kommune og Digitaliseringsstyrelsen for at få undersøgt sagen.

19 minutter senere modtog Helle Junge Nielsen en e-mail fra en medarbejder i KMD, der står bag de berørte kommuners it-system:

»Tak for din mail. Vi har lige modtaget samme melding fra en af vores kunder. Vi har sørget for, at Digital pladsanvisning ikke kan tilgås, indtil vi har rettet fejlen. Vi har smidt alt, hvad vi har i hænderne og arbejder på højtryk for at få den løst,« lød det i mailen.

Og en time senere i en mail fra KMD til en anden medarbejder i Digitaliseringsstyrelsen:

»Vi har lukket for "hullet", så det ikke længere er muligt at se de fortrolige dokumenter.«

Det var ligeledes en fejl i Digital Pladsanvisning - hvor man bl.a. kan søge om institutionsplads til sine børn - der var skyld i, at man i årevis kunne se andre borgeres cpr-numre. Esben Warming Pedersen, en it-medarbejder fra Frederiksberg, opdagede fejlen og gjorde Frederiksberg Kommune opmærksom på den. Han er nu sigtet for hacking, fordi KMD mener, at han dokumenterede fejlen på ulovlig vis.

Fejlen, der gjorde det muligt at se andre folks lønsedler, og som først er kommet frem nu, forklarer KMD således:

»En ny funktionalitet i it-systemet gav borgere, der havde modtaget agterskrivelser, mulighed for at gøre indsigelse digitalt via Digital Pladsanvisning og uploade dokumentation til deres indsigelse. En fejl i systemet betød, at nye brugere af systemet, når de via NemID loggede på løsningen, kunne se uploadet dokumentation for andre borgere i deres kommune,« siger Christoffer Hellmann, der er kommunikationschef i KMD.

Han understreger, at kun en mindre gruppe kunder blev berørt af fejlen, og at borgerne kan være trygge ved at lægge fortrolige dokumenter ud på offentlige it-systemer, som KMD står bag.

»Fejlen er naturligvis beklagelig, men vi har ikke viden eller mistanke om, at løsningen har været udsat for misbrug. Det er vores vurdering, at borgerne generelt kan have tillid til, at vi opbevarer deres oplysninger sikkert. Man kan aldrig garantere, at sårbarheder ikke forekommer i it-systemer, men vi gør naturligvis alt, hvad vi kan, for at forhindre det,« siger Christoffer Hellmann.