Varslet om datalekkasje, så gikk det halvannet år: – Jeg blir forbannet

En datalekkasje som NRK nylig omtalte, hvor tusenvis av filer med personopplysninger lå åpent på nett, ble i virkeligheten oppdaget og varslet om mye tidligere.

Penetrasjonstester Chris Dale forteller til Digi at han blir forbannet over at ingenting skjedde før pressen ble involvert.

Ifølge NRK ble Datatilsynet varslet i mars 2025 om en omfattende lekkasje med 13 000 filer, inkludert førerkort, personnumre og bilkontrakter.

Filene tilhører Bilklager.no, som hjelper bilister med klagesaker. De ble først sikret etter at statskanalen engasjerte seg.

Daglig leder Dag Rune Flåten i Bilklager.no sier til NRK at selskapet «ser svært alvorlig på påstanden om at informasjon om våre kunder skal ha vært offentlig tilgjengelig».

Føler han møtte veggen

Nå utdyper penetrasjonstester Chris Dale i River Security at han gjorde funnet allerede i april 2024.

Dale kom over en usikret «bøtte», som er en lagringstjeneste i Amazon-skyen, hvor det lå lagret 13 000 filer med personopplysninger for allerede 1,5 år siden.

Han viser dokumentasjon på hvordan har varslet både Dag Rune Flåten og firmaet hans Bilklager, og deretter Nasjonal sikkerhetsmyndighet (NSM).

– Deilig, da kunne jeg senke skuldrene og tenke at saken var ute av verden. Men så skjedde det ingen verdens ting, sier en oppgitt Dale.

Eksperten beskriver årsaken som en «klassisk nybegynnerfeil» med feilkonfigurasjon av en S3-bøtte, som er en lagringstjeneste i Amazon-skyen.

NSM, ved det nasjonale cybersikkerhetssenteret, takket først for varselet og skrev tilbake at de ville følge opp.

– Blir forbannet

Chris Dale fyrer seg opp når han forteller at han kom på denne lekkasjen igjen omtrent et år senere.

Til sin store frustrasjon oppdaget han at de 13.000 filene fortsatt lå like usikret og åpent tilgjengelig som i fjor.

– Nå blir jeg forbannet, tordner bergenseren. – Dette er personlig identifiserbar informasjon. Vi snakker om uskyldige liv som kan utsettes for blant annet ID-tyveri, og det er absolutt ikke noe å spøke med.

Han reagerer kraftig på manglende handlekraft, både fra selskapet og myndighetene.

– Må vi virkelig brenne oss på ild før det skjer noe? Hvor går grensen for at myndighetene faktisk går inn og sier at denne serveren må stenges? spør Dale retorisk, og fortsetter:

– Klarer ikke politiet å få fatt i noen? Kan de ikke finne Gule Sider og ringe rette vedkommende for å si ifra? Hele situasjonen blir for dum.

Det er uskyldige folk det går ut over, sier Dale:

Etterlyser debatt

Til NRK forklarer spesialrådgiver Eirik Gulbrandsen i Datatilsynet at de ikke fulgte opp saken da den ble meldt inn i mars 2025, på grunn av kapasitetsutfordringer.

Den gjennomsnittlige saksbehandlingstiden hos tilsynet er for tiden rundt 12 måneder.

– Personopplysninger kan misbrukes lenge før det har gått 12 måneder, poengterer Dale overfor Digi.

Han håper saken kan starte en debatt om myndighetenes ansvar og reaksjonsevne. Han trekker frem Nederland som et forbilde.

Premiert med T-skjorte

I 2023 skjer det noe mens han er i Nederland på jobb, som han løfter fram til inspirasjon.

– Jeg fant en kritisk sårbarhet hos justisdepartementet, som ble funnet, rapportert og deretter løst – på én og samme uke. De ga meg en T-skjorte som belønning, forteller han.

Men hos for eksempel Datatilsynet, som han etter lengre dialog med NSM velger å melde Biklager-avviket til i 2025, er gjennomsnittelig saksbehandlingstid et helt kalenderår.

– Jeg aner ikke hvordan Datatilsynet jobber med disse tingene eller hvordan det ser ut på innsiden hos tilsynet, men jeg hadde håpet de kunne sett på saker med en viss pragmatisme. Det er rart hvordan NRK klarte å få tak i eierne av disse dataene, sier Dale.

Må prioritere

I denne saken ble Datatilsynet tipset i mars 2025. Ifølge tilsynet er ikke tips gjenstand for vanlig saksbehandling, noe tipser også får beskjed om. En formell avviksmelding ble mottatt først i månedsskiftet september/oktober 2025.

Datatilsynet opplyser at de årlig mottar i overkant av 6000 meldinger, klager og tips. De må prioritere hvilke saker som følges opp.

Digi har tidligere omtalt at etaten har utfordringer med høy arbeidsbelastning og teknisk gjeld, noe som bidrar til treg saksbehandling.

Først da NRK tok kontakt med Bilklager, skal den åpne adgangen til filene ha blitt fjernet.

Daglig leder Dag Rune Flåten i Bilklager sier til NRK at selskapet «ser svært alvorlig på påstanden om at informasjon om våre kunder skal ha vært offentlig tilgjengelig» og at de nå arbeider med å styrke sikkerheten.

Chris Dale mener tiden fra han varslet selskapet og til adgangen til filene ble fjernet viser behovet for en bredere debatt om myndighetenes ansvar.

Varsel fra 2024 druknet i mengden

Daglig leder Dag Rune Flåten i Bilklager.no sier han var helt ukjent med saken før NRK tok kontakt. Han forklarer at det opprinnelige varselet fra Chris Dale i 2024 druknet i en stor mengde henvendelser via selskapets kontaktskjema og derfor aldri ble lest.

Etter at NRK tok kontakt, ble det iverksatt en full sikkerhetsgjennomgang der både interne utviklere og eksterne eksperter ble involvert for å utbedre systemene.

Flåten understreker at de tar saken på største alvor, men påpeker at verken deres egne utviklere eller innleide sikkerhetseksperter har klart å finne de påståtte filene.

– Vi benytter lagringssystemer fra Amazon som går for å være blant de sikreste i verden, og våre systemer er sikre. Vi ser oss selvsagt ikke ferdige med saken før vi konkluderer med at vi trygt kan legge dette til side, sier Flåten.

Datatilsynet: – Bekymringsverdig

Kommunikasjonsdirektør Janne Stang Dahl i Datatilsynet er enig med Chris Dale i at det er bekymringsverdig at sikkerhetsbrudd først blir rettet når det kommer fram i mediene.

Hun understreker samtidig at det er virksomhetene selv som har hovedansvaret for å sikre befolkningens personopplysninger.

Dahl forklarer at tilsynet opplever en eksplosiv økning i antall saker, og forventer å motta godt over 4000 avviks- og klagesaker i 2025. Den store pågangen tvinger dem til å gjøre harde prioriteringer for å bruke ressursene der de gagner flest mulig.

– Vi ser at behandlingstiden ofte er lang, og det kan være et problem i seg selv, erkjenner Dahl. Hun presiserer at Datatilsynets rolle i avvikssaker primært er å vurdere hendelsen i etterkant, i tillegg til å drive utstrakt veiledning for å hjelpe virksomheter med å forhindre brudd.