En granskning av CBC News har funnit att fler än 1,5 miljoner kanadensiska Crime Stoppers-tips har läckt, vilket väcker svåra frågor om Crime Stoppers dataintrång och anonymitet samt hur väl ett löfte om sekretess håller när en tredje part lagrar uppgifterna. Kingston Police har uppgett att en hackare tog 100 000 dokument i en "cyberincident" 2025, och en kanadensisk utredning har nu inletts.

Det här inlägget håller sig till vad CBC har rapporterat hittills. Vissa detaljer, inklusive den fulla omfattningen av vad som exponerades, kan ändras i takt med att utredningen fortskrider.

Vad Crime Stoppers-läckan exponerade

Enligt CBC:s sammanfattning av sina fynd omfattar de läckta uppgifterna fler än 1,5 miljoner kanadensiska tips. Utredningen inleddes efter ett dataintrång som exponerade miljontals ID:n. Kingston Police uppger att en hackare tog 100 000 dokument i en cyberincident 2025.

CBC:s intervjuer och analys av det kanadensiska innehållet i de läckta uppgifterna tyder på tre brister hos Crime Stoppers och det företag som de anlitade för att hantera sin databas:

  • Tipsarnas identiteter skyddades inte.
  • Personuppgifter lämnades utan maskering.
  • Årtionden av känsliga register behölls på ett otillbörligt sätt.

Detta är CBC:s fynd från deras egna intervjuer och analys. Rapporteringen antyder inte att varje tips avslöjade en persons identitet, men den indikerar att vissa tipsare kan vara identifierbara.

Hur en leverantör förvandlade anonyma tips till identifierbara register

Crime Stoppers-program lovar att människor kan lämna information utan att uppge sina namn. Det löftet är bara så starkt som systemen bakom det. När en organisation överlämnar tipslagring till ett anlitat företag blir leverantörens vanor en del av integritetsgarantin: vad som maskeras, vem som kan komma åt registren och hur länge de sparas.

CBC:s fynd pekar på ett välbekant mönster. Anonymitet vid insamlingstillfället garanterar inte anonymitet i lagringen. Om fritextfält för tips innehåller namn, adresser, telefonnummer eller andra identifierande uppgifter, och ingen tar bort dem, kan databasen bli ett register över vem som sagt vad. Att behålla dessa register i årtionden vidgar fönstret under vilket ett enda intrång kan orsaka skada.

Samma dynamik framträder i andra incidenter där en tredjepartsadministratör innehar uppgifter för många organisationers räkning. Vår rapportering om hur DentaQuest bekräftade att 15 miljoner patienter drabbades visar hur ett enda administratörsintrång kan nå långt fler människor än de organisationer som ursprungligen samlade in uppgifterna. Läsare kan också se hur en DentaQuest-intrångsnotifiering nådde 15 miljoner patienter i de meddelanden som följde.

Dina rättigheter till datalagring enligt PIPEDA

Kanadas federala integritetslagstiftning för den privata sektorn, Personal Information Protection and Electronic Documents Act (PIPEDA), är det ramverk som många kanadensare vänder sig till när de vill veta vad en organisation har om dem. CBC-artikelns sammanfattning anger inte vilka lagar som gäller i Crime Stoppers-fallet, så det här avsnittet är allmän vägledning snarare än en juridisk bedömning av denna incident.

I allmänna ordalag är PIPEDA uppbyggd kring principer som att begränsa insamling, begränsa lagring och skydda personuppgifter. Individer kan vanligtvis fråga en organisation vilka personuppgifter den har om dem och kan framföra klagomål till organisationens integritetsansvarige. Om svaret är otillfredsställande kan ett klagomål lämnas till Office of the Privacy Commissioner of Canada.

Frågan om lagring är central här. CBC:s fynd att årtionden av känsliga register behölls på ett otillbörligt sätt är precis den sorts fråga som lagringsbegränsningar är avsedda att hantera: uppgifter som inte längre tjänar något syfte är en belastning som väntar på ett intrång.

Hur du begränsar vad du delar med tredjepartstjänster

Du kan inte granska en leverantörs databas, men du kan kontrollera vad som hamnar i den. Dessa vanor minskar din exponering:

  • Dela bara det som behövs. Om du lämnar ett tips, håll dig till fakta om händelsen. Uteslut ditt eget namn, arbetsplats, relation till de inblandade personerna eller detaljer som bara du skulle känna till.
  • Undvik identifierande sidodetaljer. Skrivstil, tidpunkt och specifika uppgifter om hur du fick veta något kan peka tillbaka på dig även utan ett namn.
  • Använd en enhet och ett nätverk du känner dig bekväm med. En VPN kan dölja din IP-adress för en webbplats, men den gör ingenting åt vad du skriver in i ett formulär, så den ersätter inte ett noggrant ordval.
  • Fråga vem som driver tjänsten. Många offentliga program förlitar sig på externa plattformar. Deras integritetspolicy bör ange vem som behandlar dina uppgifter och under hur lång tid.
  • Anta att lagrade uppgifter kan läcka. Behandla varje formulär du fyller i som något som en dag kan bli offentligt.

Vad detta innebär för dig

Om du någon gång har lämnat ett tips till ett Crime Stoppers-program är CBC:s fynd en anledning att granska vad du inkluderade, inte en anledning till panik. Huruvida ett visst tips kan spåras till en person beror på dess innehåll, och utredningen pågår fortfarande. Om du är orolig kan du överväga att kontakta det relevanta programmet eller Office of the Privacy Commissioner of Canada för att fråga vilka uppgifter som innehas och hur de skyddas.

I ett bredare perspektiv visar den här historien att anonymitet är en egenskap hos hela systemet, inte bara hos insändningsformuläret. Stora intrång spåras ofta tillbaka till en leverantör, vilket syns i incidenter som ShinyHunters påstående om FBI-länkade uppgifter, där flera företag namngavs i samband med den påstådda stölden.

Viktiga slutsatser

  • CBC rapporterar att fler än 1,5 miljoner kanadensiska Crime Stoppers-tips har läckt, och Kingston Police uppger att en hackare tog 100 000 dokument i en incident 2025.
  • CBC:s analys tyder på att tipsarnas identiteter inte skyddades, att personuppgifter inte maskerades och att årtionden av register behölls.
  • Crime Stoppers dataintrång och anonymitet beror på hur leverantörer lagrar och rensar uppgifter, inte bara på vad ett formulär lovar.
  • Fråga alla organisationer du har att göra med vilka personuppgifter de behåller, vem som behandlar dem och under hur lång tid. Du kan ha rätt till den informationen enligt PIPEDA.
  • Fortsätt läsa vår rapportering om intrång som involverar tredjepartsadministratörer, inklusive DentaQuest-notifieringsartikeln som länkas ovan, för att se hur dessa brister upprepas.