De Universiteit van Kopenhagen onderzoekt een groot cyberbeveiligingslek nadat hackers toegang kregen tot persoonlijke informatie van ongeveer 525.000 personen. Het incident heeft ook duizenden toegangscodes voor de campus gecompromitteerd, waardoor de Deense instelling tijdelijke beveiligingsmaatregelen moest invoeren.
De inbraak werd ontdekt op 20 oktober 2026, toen de universiteit ongeautoriseerde toegang tot een van haar testomgevingen identificeerde. Hoewel dergelijke systemen doorgaans worden gebruikt voor ontwikkeling en testen in plaats van voor dagelijkse operaties, bevatte de gecompromitteerde omgeving een aanzienlijke verzameling persoonlijke gegevens.
Volgens de universiteit bevatte de blootgestelde database volledige namen, Deense nationale identificatienummers, bekend als CPR-nummers, werk- en privételefoonnummers en privé-e-mailadressen. Onderzoekers zijn nog steeds bezig te bepalen welke dossiers zijn geraadpleegd en de volledige omvang van de blootstelling.
De universiteit maakte de inbreuk op 23 oktober openbaar en verklaarde dat de toegang van de aanvallers was geblokkeerd. Op dat moment meldden functionarissen geen bewijs dat de inbraak systemen had beïnvloed die normale academische activiteiten ondersteunden of de universiteitsactiviteiten had verstoord.
Verder onderzoek bracht een ander veiligheidsprobleem aan het licht waarbij ongeveer 20.000 studenten en medewerkers betrokken waren. De pincodes van hun identiteitskaart waren ook gecompromitteerd, wat potentiële risico’s opleverde voor gebouwen en verboden gebieden die beschermd zijn door elektronische toegangscontroles.
Als voorzorgsmaatregel schortte de universiteit tijdelijk de fysieke toegang tot geselecteerde kritieke locaties op. Nieuwe pincodes werden vervolgens uitgegeven aan getroffen kaarthouders, waardoor de beperkte faciliteiten konden heropenen.
De instelling legde uit dat zij het aankondigen van de gecompromitteerde toegangscodes had uitgesteld totdat vervangingen waren verspreid. Dit was bedoeld om de kans te verkleinen dat onbevoegde personen de informatie zouden misbruiken voordat de beschermende maatregelen waren genomen.
De blootstelling van CPR-nummers vormt een aparte zorg, omdat deze identificaties in Denemarken veel worden gebruikt voor administratieve en identiteitsgerelateerde doeleinden. In combinatie met contactinformatie kunnen dergelijke gegevens criminelen helpen overtuigende phishingberichten te creëren of zich voor te doen als vertrouwde organisaties.
De Universiteit van Kopenhagen heeft het incident gemeld bij de Deense Gegevensbeschermingsdienst en erkende haar verplichtingen onder de Algemene Verordening Gegevensbescherming van de Europese Unie. Ook heeft zij verdere updates beloofd naarmate onderzoekers de omvang van het datalek vaststellen.