Sårbarheit i operatørregisteret flydrone.no
Luftfartstilsynet fekk onsdag ettermiddag 4. mars ei bekymringsmelding om ei sårbarheit i flydrone.no, Noregs offisielle register for alle som flyr drone i Noreg. Feilen er no retta.
Ein feil i utviklinga av registeret gjorde det mogleg å hente ut data om registrerte organisasjonar og pilotar som er knytte til organisasjonane, som ein ikkje skulle hatt tilgang til. Vi beklagar at denne sårbarheita har oppstått, og arbeider no grundig med å kartleggje omfanget og styrkje rutinane våre.
Kva informasjon var tilgjengeleg?
Vi veit ikkje om sårbarheita har blitt utnytta, men den gjorde det mogleg å hente ut følgjande opplysningar:
For organisasjonar:
- namn
- kontaktinformasjon
- operatørnummer
- forsikringsselskap og polisenummer
- betalingsinformasjon der fire av siffera i kortnummeret er bytte ut med ****
(t.d. 0000 0000 **** 0000)
For pilotar knytte til organisasjonar:
- namn
- kontaktinformasjon
- type sertifikat
- kva organisasjon piloten flyr for
Kva er gjort?
Så snart vi mottok bekymringsmeldinga, onsdag ettermiddag 4. mars 2026, starta vi saman med leverandøren vår arbeidet med å fjerne sårbarheita.
Den tekniske løysinga vart implementert torsdag 5. mars kl 22.00, og vi melde avviket til Datatilsynet på fredag.
Vi har undersøkt om sårbarheita har blitt utnytta. Vi finn ingen teikn til det, men kan heller ikkje utelukke det. Difor har vi lagt til grunn eit verstefallsscenario og valt å sende ut informasjon til dei som er råka. I tillegg har vi gått gjennom rutinane våre og oppdatert dei for å sikre at noko liknande ikkje skjer igjen.
Konsekvensar for deg
Organisasjonar og tilknytte pilotar som er eller tidlegare har vore registrerte, treng ikkje å gjere noko sjølve. Det er likevel alltid lurt å vere merksam på uventa førespurnader.
Feilen er retta, og vi har ikkje sett teikn til at uvedkomande har skaffa seg tilgang til opplysningar. Det har ikkje vore mogleg å få tilgang til sensitive personopplysningar. Den delen av betalingsinformasjonen til organisasjonane som kunne vore tilgjengeleg, er åleine ikkje tilstrekkeleg til å kunne bli utnytta.
Ein bør likevel alltid vere årvaken når det gjeld betalingsinformasjon, og ikkje dele opplysningar som utløpsdato eller personlege kodar med andre.
Vi vil oppdatere denne sida når vi får meir informasjon.