L’Université de Copenhague enquête sur une importante faille de cybersécurité après que des hackers ont accédé à des informations personnelles appartenant à environ 525 000 personnes. L’incident a également compromis des milliers de codes d’accès du campus, obligeant l’institution danoise à instaurer des restrictions de sécurité temporaires.
L’intrusion a été découverte le 20 octobre 2026, lorsque l’université a identifié un accès non autorisé à l’un de ses environnements de test. Bien que ces systèmes soient généralement utilisés pour le développement et les tests plutôt que pour les opérations quotidiennes, l’environnement compromis contenait une importante collection de dossiers personnels.
Selon l’université, la base de données exposée comprenait des noms complets, des numéros d’identification nationaux danois appelés numéros CPR, des numéros de téléphone professionnels et personnels, ainsi que des adresses e-mail privées. Les enquêteurs cherchent encore à déterminer quels dossiers ont été consultés et l’étendue totale de cette révélation.
L’université a rendu publique la violation le 23 octobre, affirmant que l’accès des attaquants avait été bloqué. À ce stade, les responsables n’ont rapporté aucune preuve que l’intrusion ait affecté les systèmes soutenant les activités académiques normales ou perturbé les opérations universitaires.
Une enquête plus approfondie a révélé un autre problème de sécurité impliquant environ 20 000 étudiants et employés. Leurs codes PIN de carte d’identité avaient également été compromis, créant des risques potentiels pour les bâtiments et zones restreintes protégés par des contrôles d’accès électroniques.
Par précaution, l’université a temporairement suspendu l’accès physique à certains lieux critiques. De nouveaux codes PIN ont ensuite été délivrés aux titulaires de cartes concernés, permettant la réouverture des installations restreintes.
L’institution a expliqué qu’elle avait retardé l’annonce des codes d’accès compromis jusqu’à la distribution des remplaçants. Cela visait à réduire la possibilité que des individus non autorisés exploitent les informations avant la mise en place des mesures de protection.
L’exposition des numéros CPR pose une préoccupation distincte car ces identifiants sont largement utilisés au Danemark à des fins administratives et liées à l’identité. Combinés aux informations de contact, ces enregistrements pourraient aider les criminels à créer des messages de phishing convaincants ou à se faire passer pour des organisations de confiance.
L’Université de Copenhague a signalé l’incident à l’Agence danoise de protection des données et reconnu ses obligations en vertu du Règlement général sur la protection des données de l’Union européenne. Elle a également promis des mises à jour supplémentaires à mesure que les enquêteurs établiront l’étendue de la violation.