De Technische Universiteit van Denemarken (DTU) heeft een groot datalek ondergaan die tot 200.000 huidige en voormalige studenten, medewerkers en andere mensen die aan de universiteit verbonden zijn, kan treffen.
Aanvallers kregen ongeautoriseerde toegang tot DTUBasen, het DTU-systeem voor het beheren van gebruikersidentiteiten en toegangsrechten. De universiteit bevestigde dat er een grote hoeveelheid data was gedownload voordat de inbraak werd ingeperkt.
DTUBasen bevat informatie die teruggaat tot 2003 en bestrijkt ongeveer 40.000 actieve gebruikers en 160.000 voormalige gebruikers. DTU heeft echter benadrukt dat deze cijfers het aantal mensen weergeven van wie de informatie mogelijk is blootgesteld, en niet een bevestigd aantal slachtoffers.
De universiteit heeft nog niet precies vastgesteld welke gegevens zijn gedownload. Informatie die in het systeem is opgeslagen kan namen, Deense CPR-nummers, huisadressen, profielfoto’s, werk-e-mailadressen, functietitels en kantoorgegevens omvatten.
Sommige actieve gebruikers hebben mogelijk ook noodcontactgegevens opgeslagen, waaronder de naam, relatie en telefoonnummer van hun naaste familielid. DTU bewaart minder informatie over voormalige gebruikers omdat sommige gegevens, waaronder huisadressen en profielfoto’s, automatisch zes maanden na vertrek worden verwijderd.
Volgens DTU hebben de aanvallers verschillende gebruikersaccounts van de universiteit gecompromitteerd en deze gebruikt om toegang te krijgen tot DTUBasen. De universiteit heeft niet bekendgemaakt hoe die accounts aanvankelijk zijn gecompromitteerd of geïdentificeerd wie verantwoordelijk was.
Het incidentresponsteam van DTU beheerste de aanval en haalde externe cybersecurityspecialisten in om het te onderzoeken. De inbreuk is ook gemeld bij de Deense Gegevensbeschermingsdienst en andere relevante instanties.
Mensen van wie de informatie werd blootgesteld, konden een verhoogd risico lopen op phishing en identiteitsfraude. Persoonlijke gegevens verkregen van de universiteit kunnen criminelen helpen om overtuigende e-mails, berichten of oproepen te creëren die lijken te komen van DTU of een andere vertrouwde organisatie.
DTU neemt contact op met huidige en voormalige medewerkers en de meeste huidige en voormalige studenten van wie de reanimatienummers in het systeem zijn opgeslagen via de Deense e-Boks digitale postdienst. De universiteit heeft ook een bredere publieke waarschuwing uitgegeven omdat zij niet direct contact kan opnemen met elke mogelijk getroffen gast, externe partner of noodcontact.
Het onderzoek gaat door, en DTU weet nog steeds niet precies hoeveel mensen hun informatie hebben gedownload of hoeveel gegevens tijdens de aanval zijn verzameld.