Sikkerhetsbrist hos CDON.com

[GeCcO]

I løpet onsdagen fikk jeg to eposter fra CDON.com. Den første var et varsel om at min brukerinformasjon var blitt oppdatert. Denne så jeg ikke da den ble sendt til en epostadresse jeg normalt ikke sjekker så alt for ofte. Den andre mailen fikk jeg derimot med meg. dette var en ordrebekreftelse på 3 varer for omtrent Kr. 950,-

 

Ganske underlig tenkte jeg da jeg ikke har benyttet CDON på lang tid. Ved nærmere undersøkelse så viser det seg at CDON på et eller annet vis har slått sammen min konto med en annen person som har nesten samme navn, kun skilt ved at jeg har et ekstra mellomnavn.

 

I utgangspunktet så var jo ikke dette noe direkte skadelig for meg da det så ut som at ordren til den andre personen ble sendt til hans adresse osv. Men hvorvidt jeg kunne blitt stilt ansvarlig for noe kan vel sikkert diskuteres frem og tilbake. Det som var ille var at CDON har en mulighet (krav?) om at brukere registrerer fullt personnummer. Når jeg nå åpner "min side" hos CDON så har jeg altså fullt navn, adresse, telefonnummer og ikke minst hele personnummeret til den personen som nå har blitt koblet til min epostadresse. Ille er vel bare forbokstaven.

 

Da dette var sent på kvelden så var det kun chat via nettet den eneste muligheten å nå CDON på, de på den andre siden skjønte ikke helt det store og ba meg sende en epost via supportsiden dagen etterpå.

[Grimning]

Høres ikke helt bra ut, men det jeg lurer på er om CDON har lov til å lagre personnummer?

[PaTrond]

Høres ikke helt bra ut, men det jeg lurer på er om CDON har lov til å lagre personnummer?

 

Nei, kun stat og bedrifter med meldeplikt (bank, leger, etc.) har lov å bruke personnummer. Andre må søke om konsesjon, men grunnnen skal være rimelig god nok. Om man først har lov å bruke personnummer, skal det faktisk være svært adskilt fra informasjonen rundt personen knyttet til nummeret, for å ikke kunne hente ut alt mulig, selv om man har nummeret. CDON ville aldri fåt lov å bruke personnummer. Et idrettslag som samarbeider med en lege, ville kanskje fått lov å bruke/ lagre det. Har selv drevet med idrett på høyere nivå, men personnummer har aldri vært et spørsmål, selv om flere av stevnene var i utlandet.

[GeCcO]

Synes selv det var mildt sagt hårreisende at jeg så og si fikk tilsendt all informasjon rett på sølvfat. Skulle gjerne likt å teste ut hvor lett det eventuelt ville være å gjenskape situasjonen.