FynBus lancerede et nyt system på sin hjemmeside, men det indeholdt en fejl, som medførte, at uvedkommende kunne opsnappe kundernes personlige oplysninger.
Busselskabet FynBus skulle have lavet en løsning, så deres kunder på selskabets hjemmeside kunne bestille et nyt betalingskort.
Det nye kortbestillings-modul åbnede dog samtidig en lem, hvor personoplysninger kunne hales ud af uvedkommende. Det var en lokal journalist, der opdagede fejlen og rettede henvendelse til Datatilsynet.
- Vi gik på nettet 15. juni, og halvanden uge senere fik vi en opringning fra Datatilsynet om, at den løsning, vi havde, var ulovlig, siger FynBus’ direktør Carsten Hyldborg.
Gæt et cpr-nummer
For at bestille det nye kort skulle man på hjemmesiden indtaste personnummer og e-mailadresse.
På mailen fik man så en kode, og når man tastede den ind på hjemme-siden, gjorde et samarbejde med cpr-registeret, at stamdata som navn, adresse og lignende automatisk var indtastet.
Uheldigvis kunne man også få adgang til andres oplysninger.
- Hvis man var dygtig til at gætte en kombination af en fødselsdato og et personnummer, så kunne man via vores hjemmeside komme i besiddelse af en anden persons stamdata, fortæller Carsten Hyldborg.
I god tro
FynBus lukkede straks kortbestillingen, efter at man blev gjort opmærksom på fejlen, og Carsten Hyldborg var ked af blive hængt ud i den lokale presse for at lække person-oplysninger.
- Vi er ikke eksperter og havde derfor fået en ekspert-vurdering fra vores it-firma, som udviklede løsningen. Vi fik ikke en 'second opinion' på det, men kunne selvfølgelig have bedt Datatilsynet om at godkende løsningen på forhånd. Jeg ved ikke, om det er normal praksis. Det er jo ikke hver dag, vi laver sådanne løsninger. Vi mener, at vi har været i god tro, siger Carsten Hyldborg.
Ingen chancer
Set i bakspejlet kunne en enkel løsning som en mekanisme, der spærrer efter tre forsøg, som vi kender det fra dankort og mobiltelefoner, have gjort det vanskeligere at fremskaffe FynBus-kundernes cpr-numre. Den tanke havde dog ikke strejfet Carsten Hyldborg, der troede, at alt var sikkert.
- Jeg har selv siddet og bestilt det kort uden at have haft fantasi til at forestille mig, at man ud fra en eller anden tilfældig fødselsdato skulle kunne gætte sig frem til de fire sidste cifre. Jeg ville tro, at det var lige så svært som at vinde i lotto, hvis man skulle sidde og indtaste de fire cifre og så ramme rigtigt. Men der siger eksperterne, at det kan man altså, fortæller Carsten Hyldborg.
FynBus har sat it-firmaet til at lave en ny løsning, hvor man ikke kan få fingrene i andres personlige oplysninger. Og denne gang bliver der ikke taget nogen chancer.
- Nu laver vi en ny løsning, hvor vi undgår problemet, og det er en løsning, som vi ikke tager i anvendelse, før den er godkendt af Datatilsynet, lyder det fra FynBus-direktøren.
