A Universidade de Copenhague está investigando uma grande violação de cibersegurança após hackers acessarem informações pessoais pertencentes a aproximadamente 525.000 pessoas. O incidente também comprometeu milhares de códigos de acesso ao campus, forçando a instituição dinamarquesa a introduzir restrições temporárias de segurança.
A intrusão foi descoberta em 20 de outubro de 2026, quando a universidade identificou acesso não autorizado a um de seus ambientes de teste. Embora tais sistemas geralmente sejam usados para desenvolvimento e testes, em vez de operações diárias, o ambiente comprometido continha uma coleção substancial de registros pessoais.
Segundo a universidade, o banco de dados exposto incluía nomes completos, números de identificação nacional dinamarquesa conhecidos como números CPR, números de telefone de trabalho e pessoais, e endereços de e-mail privados. Os investigadores ainda estão determinando quais registros foram acessados e a extensão total da exposição.
A universidade divulgou publicamente a violação em 23 de outubro, afirmando que o acesso dos atacantes havia sido bloqueado. Naquele momento, autoridades não relataram evidências de que a invasão tivesse afetado sistemas que sustentam as atividades acadêmicas normais ou interrompido as operações da universidade.
Investigações posteriores revelaram outra preocupação de segurança envolvendo aproximadamente 20.000 estudantes e funcionários. Os códigos PIN do cartão de identificação também foram comprometidos, criando riscos potenciais para edifícios e áreas restritas protegidas por controles eletrônicos de acesso.
Como precaução, a universidade suspendeu temporariamente o acesso físico a locais críticos selecionados. Novos códigos PIN foram posteriormente emitidos aos portadores afetados, permitindo a reabertura das instalações restritas.
A instituição explicou que havia adiado o anúncio dos códigos de acesso comprometidos até que os substitutos fossem distribuídos. Isso tinha como objetivo reduzir a possibilidade de indivíduos não autorizados explorarem as informações antes que as medidas de proteção fossem concluídas.
A exposição dos números de CPR apresenta uma preocupação separada, pois esses identificadores são amplamente usados na Dinamarca para fins administrativos e relacionados à identidade. Combinados com informações de contato, tais registros podem ajudar criminosos a criar mensagens de phishing convincentes ou a se passar por organizações confiáveis.
A Universidade de Copenhague reportou o incidente à Agência Dinamarquesa de Proteção de Dados e reconheceu suas obrigações sob o Regulamento Geral de Proteção de Dados da União Europeia. Também prometeu novas atualizações à medida que os investigadores estabelecerem o alcance da violação.