Det nationale jobcenter kendte hullerne. For hullerne var listet i deres egen risikorapport.
De gjorde bare aldrig noget ved det.
Social engineering og 43 millioner borgere
I første kvartal 2024 brugte tre unge hackere mellem 21 og 23 år social engineering mod en rådgiver hos France Travail, Frankrigs nationale jobcenter. De fik login udleveret og fik adgang til systemet.
Fordi rådgiverne kunne se data på alle borgere og ikke kun dem, de selv betjente, endte hackerne med adgang til 43 millioner franskmænds persondata. Navne, adresser, telefonnumre og CPR-ækvivalenter. Samlet over 20 år.
Flere sager af samme type er samlet under mønstret bag Datatilsynets afgørelser.
Bøden var ikke for angrebet
I januar 2026 traf det franske datatilsyn CNIL sin afgørelse. Bøden blev på 37 millioner kroner.
Ikke for at jobcentret blev hacket. Men for tre konkrete kontrolsvigt, som de selv havde identificeret i deres egen konsekvensanalyse og aldrig implementeret.
Tre dokumenterede svigt
Svigt nummer et: Rådgivernes login var ikke tilstrækkeligt beskyttet. Ingen robust multifaktorlogin.
Svigt nummer to: Ingen logning, der kunne opdage unormal adfærd. Ingen alarm, da en bruger pludselig slog millioner af borgere op.
Svigt nummer tre: Alt for brede adgangsrettigheder. Rådgivere kunne se data for borgere, de aldrig havde kontakt med.
Alle tre svigt var identificeret på forhånd. Ingen af dem var adresseret.
Det er ikke unikt for Frankrig
Det mønster er ikke unikt for Frankrig.
I Danmark indstillede Datatilsynet i januar 2024 Netcompany til en bøde på 15 millioner kroner for manglende sikkerhed i mit.dk.
Datatilsynets ord: “Det danske samfund er højt digitaliseret, og derfor er det afgørende, at borgerne kan have tillid til, at sikkerheden i den nationale kritiske infrastruktur er i orden.”
Bøder for kontrolsvigt stiger
Ifølge DLA Pipers GDPR-rapport fra januar 2026 er databrud-anmeldelser i EU steget 22 procent til 443 om dagen. Bøder for utilstrækkelig sikkerhed udgjorde 1,2 milliarder euro i 2025 alene.
Mønstret er tydeligt. Datatilsyn straffer ikke angrebet. De straffer kontrolsvigtet.
Tænk over jeres egen organisation
Har I en risikovurdering? Er den implementeret?
Kan jeres medarbejdere se data, de ikke har brug for?
Ville I opdage det, hvis en bruger pludselig slog tusindvis af poster op i stedet for de sædvanlige ti?
France Travail kunne svare ja til det første og nej til resten. Det kostede dem 37 millioner kroner.
Tre ting du bør gøre nu
Find jeres risikovurdering frem. Er anbefalingerne implementeret, eller ligger de i en skuffe? Hvis I ikke har lavet en, er det i sig selv et problem. Datatilsynet forventer, at I kender jeres risici og handler på dem.
Tjek adgangsrettigheder. Kan jeres medarbejdere se data, de ikke har brug for i deres daglige arbejde? Princippet er simpelt: mindst mulig adgang til at udføre opgaven. France Travails rådgivere kunne se alle borgere. Det skulle de ikke kunne.
Test jeres logning. Kan I se, hvis en bruger pludselig tilgår tusindvis af poster i stedet for de sædvanlige ti? Hvis svaret er nej, har I samme hul som France Travail. Anomali-detektering er ikke luksus. Det er grundlæggende kontrol.
Risikovurderingen er ikke et skrivebordsdokument
France Travail havde lavet arbejdet. De havde identificeret risiciene. De havde dokumenteret, hvad der skulle gøres.
De gjorde det bare aldrig.
Det er den dyreste fejl, man kan lave. At vide, hvad der er galt, og ikke handle.
Få en uafhængig gennemgang
En cybersikkerhedsaudit sammenholder jeres risikovurdering med virkeligheden. Er anbefalingerne implementeret? Eller ligger de i en skuffe?
En teknisk sikkerhedsgennemgang tester, om jeres logning faktisk ville fange unormal adfærd, og om jeres adgangsrettigheder følger princippet om mindst mulig adgang.
Og et leverandøraudit afslører, om jeres leverandører har samme svaghed som France Travail.
France Travail kendte hullerne. De stod i deres egen rapport. Hvad står der i jeres?
Har du brug for at vide, om jeres risikovurdering er implementeret? Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
