La Universidad de Copenhague está investigando una grave brecha de ciberseguridad tras el acceso de hackers a información personal de aproximadamente 525.000 personas. El incidente también comprometió miles de códigos de acceso del campus, obligando a la institución danesa a introducir restricciones temporales de seguridad.
La intrusión fue descubierta el 20 de octubre de 2026, cuando la universidad identificó acceso no autorizado a uno de sus entornos de pruebas. Aunque estos sistemas se utilizan generalmente para desarrollo y pruebas en lugar de operaciones cotidianas, el entorno comprometido contenía una colección sustancial de registros personales.
Según la universidad, la base de datos expuesta incluía nombres completos, números de identificación nacionales daneses conocidos como números CPR, números de teléfono de trabajo y personales, y direcciones de correo electrónico privadas. Los investigadores aún están determinando qué registros fueron consultados y el alcance total de la exposición.
La universidad hizo pública la brecha el 23 de octubre, afirmando que el acceso de los atacantes había sido bloqueado. En ese momento, las autoridades no informaron de que la intrusión hubiera afectado a los sistemas que apoyan las actividades académicas normales ni interrumpido las operaciones universitarias.
Una investigación más profunda reveló otra preocupación de seguridad que involucraba a aproximadamente 20.000 estudiantes y empleados. Los códigos PIN de sus tarjetas de identificación también habían sido comprometidos, lo que generaba riesgos potenciales para edificios y áreas restringidas protegidas por controles electrónicos de acceso.
Como medida de precaución, la universidad suspendió temporalmente el acceso físico a ubicaciones críticas seleccionadas. Posteriormente se emitieron nuevos códigos PIN a los titulares de tarjetas afectados, permitiendo la reapertura de las instalaciones restringidas.
La institución explicó que había retrasado el anuncio de los códigos de acceso comprometidos hasta que se distribuyeran los reemplazos. Esto pretendía reducir la posibilidad de que personas no autorizadas explotaran la información antes de que se completaran las medidas de protección.
La exposición de los números de RCP presenta una preocupación aparte porque estos identificadores se utilizan ampliamente en Dinamarca para fines administrativos y relacionados con la identidad. Combinados con la información de contacto, estos registros podrían ayudar a los delincuentes a crear mensajes de phishing convincentes o a suplantar organizaciones de confianza.
La Universidad de Copenhague informó del incidente a la Agencia Danesa de Protección de Datos y reconoció sus obligaciones bajo el Reglamento General de Protección de Datos de la Unión Europea. También ha prometido más actualizaciones a medida que los investigadores determinen el alcance de la brecha.