En IT-kriminel havde fra 10. september adgang til CPR-registret i samlet set 21 dage og 17 timer.

Det skriver TV 2 på baggrund af en aktindsigt.

Vedkommende udnyttede dog ifølge CPR-kontorets anmeldelse af sagen til Datatilsynet ikke sin adgang i hele perioden.

I anmeldelsen skriver CPR-kontoret ifølge TV 2, at de foreløbige undersøgelser tyder på, at kompromitteringen stoppede 20. september 2026 - altså efter ti dage.

Men det var først den 2. oktober, at datalækket blev opdaget og adgangen standset.

Forsknings-, Uddannelses- og Digitaliseringsministeriet meldte mandag ud, at uvedkommende havde skaffet sig adgang til blandt andet navne, adresser og CPR-numre på cirka 8,8 millioner personer i CPR-systemet.

Det var sket via en mindre dansk virksomheds adgang til systemet, lød det.

Mikkel Leihardt, som er afdelingschef i Forsknings-, Uddannelses- og Digitaliseringsministeriet, forklarede tirsdag, at det var en faktura på et "meget stort beløb", som gjorde myndighederne opmærksomme på lækket.

Her lød det samtidig, at virksomheden havde foretaget omkring 14 millioner søgninger på CPR-numre i registret gennem sin lovlige adgang.

- Antallet overstiger langt virksomhedens kundekreds, og virksomheden har tilkendegivet, at de ikke selv har foretaget opslagene. Alt tyder derfor på, at virksomhedens IT-løsninger er blevet kompromitteret, skriver CPR-kontoret i sin anmeldelse til Datatilsynet ifølge TV 2.

Private virksomheder, fonde og foreninger kan få adgang til navne og adresser på kunder eller medlemmer i CPR.

Når en virksomhed laver en søgning i registret, koster det penge for hver søgning.

RITZAU