Università di Copenaghen: ambiente di test violato, 525.000 persone

L’Università di Copenaghen (UCPH), il più antico ateneo della Danimarca, ha confermato che degli attaccanti sono entrati in uno dei suoi ambienti di test e ne hanno ricavato dati personali di circa 525.000 persone. Lo stesso attacco ha compromesso anche i codici PIN dei tesserini di circa 20.000 tra dipendenti e studenti. I fatti sono riportati da BleepingComputer, Help Net Security, Infosecurity Magazine e DataBreaches.net, che citano i comunicati dell’università.

Cosa è successo, giorno per giorno

• 20 ottobre: l’intrusione viene rilevata e, secondo l’università, contenuta; l’accesso degli attaccanti viene bloccato.
• 23 ottobre: UCPH comunica pubblicamente l’attacco all’ambiente di test. La sera stessa, dopo una valutazione di sicurezza, limita l’accesso fisico ad alcuni luoghi del campus.
• 25 ottobre: un aggiornamento rivela che l’attacco ha compromesso i PIN dei tesserini identificativi di circa 20.000 persone. L’università spiega di non averlo detto prima per motivi di sicurezza, finché i codici non erano stati cambiati. Con i nuovi PIN i luoghi chiusi riaprono.
• 26 ottobre: UCPH spegne in modo preventivo e controllato Workzone, Nimbus e altri sistemi amministrativi, avvisando di possibili problemi nel raggiungere i suoi siti. In un primo momento parla di un nuovo attacco.
• 27 ottobre: la valutazione viene rivista. Secondo l’università non si tratta di un secondo attacco, ma di attività nel sistema che inizialmente sembrava indicarlo; lo spegnimento resta comunque necessario e collegato all’attacco originale, e alcuni sistemi hanno ancora disservizi.

L’università afferma di non avere indicazioni che gli attaccanti abbiano raggiunto i sistemi che sostengono le attività quotidiane. L’incidente è stato segnalato all’autorità danese per la protezione dei dati, perché rientra nel GDPR.

Quali dati

Secondo Help Net Security, i dati riguardano nomi, numeri di identità nazionale (CPR), numeri di telefono di lavoro e privati e indirizzi email personali; BleepingComputer riporta lo stesso elenco in forma più sintetica. L’università sta ancora analizzando l’estensione precisa della violazione. Infosecurity Magazine parla di «oltre 520.000» persone.

Le fonti divergono su un punto: BleepingComputer descrive i 20.000 PIN come persone «in più», mentre l’università, citata da Help Net Security, precisa che non si tratta di una nuova violazione rispetto a quella del 23 ottobre. Non è chiaro se quelle 20.000 persone siano comprese nelle 525.000.

Un dato da notare: secondo BleepingComputer l’ateneo ha circa 36.800 studenti e 10.700 dipendenti. Il numero delle persone coinvolte è quindi molto più alto della popolazione attuale; le fonti non dicono a chi appartengano gli altri record.

Cosa non si sa

Le fonti non indicano il vettore d’accesso, il tipo di ambiente di test, l’autore dell’attacco né eventuali rivendicazioni o richieste di riscatto. Non sono stati pubblicati indicatori di compromissione. Ogni ipotesi sulla tecnica usata, oggi, sarebbe una speculazione.

Perché conta: dati reali fuori dalla produzione

Il caso mette in evidenza un problema diffuso. Gli ambienti di test, collaudo e sviluppo contengono spesso copie di dati di produzione, ma ricevono meno attenzione: patch più lente, account condivisi, accessi più larghi per gli sviluppatori o i fornitori, log raccolti poco o per niente. Se dentro ci sono dati veri, il loro valore per un attaccante è lo stesso della produzione.

Due elementi rendono questo incidente particolarmente delicato:

• il CPR è un identificativo permanente, usato in Danimarca per moltissimi servizi; come il codice fiscale in Italia, non si può «cambiare» come una password. Le fonti sottolineano il rischio di phishing e ingegneria sociale verso le persone coinvolte;
• i PIN dei tesserini collegano l’incidente informatico alla sicurezza fisica: l’università ha dovuto chiudere alcune aree e ridistribuire i codici prima di riaprirle.

Impatto per le aziende europee e italiane

Per chi tratta dati personali valgono gli stessi obblighi del GDPR: notifica al Garante entro 72 ore (art. 33), comunicazione agli interessati quando il rischio è elevato (art. 34) e, a monte, protezione dei dati fin dalla progettazione, minimizzazione e pseudonimizzazione (artt. 25 e 32), che riguardano anche gli ambienti di test. Per i soggetti che rientrano nella NIS2 (in Italia il d.lgs. 138/2024), un incidente significativo richiede anche la pre-notifica al CSIRT Italia entro 24 ore. Università, enti di ricerca e strutture sanitarie, che gestiscono grandi archivi storici di persone, sono tra i più esposti.

Cosa fare subito

• Inventaria gli ambienti non di produzione (test, collaudo, sviluppo, formazione) e verifica quali contengono dati personali reali.
• Sostituisci i dati reali con dati mascherati, pseudonimizzati o sintetici; cancella le copie vecchie e non più usate.
• Separa gli ambienti: niente credenziali, chiavi, account di servizio o connessioni condivise con la produzione; MFA su tutti gli accessi amministrativi, anche in test.
• Porta i log degli ambienti di test nel monitoraggio e imposta allarmi su esportazioni massive, query insolite e accessi da indirizzi nuovi.
• Tieni fuori i sistemi di accesso fisico (PIN, badge) da reti e database raggiungibili dagli ambienti di test, e prepara una procedura per cambiare rapidamente i codici.
• Se sono usciti identificativi come CPR o codice fiscale, avvisa le persone del rischio di phishing mirato e indica come verificare le richieste per un canale diverso.
• Nel piano di risposta, prevedi lo spegnimento controllato dei sistemi e una comunicazione che si possa correggere man mano, come ha fatto UCPH.

Come aiuta ARXDOME

Con ARX Sentry l’agent di ARXDOME si installa anche sui server di test: log, eventi di sicurezza, accessi e integrità dei file arrivano nelle stesse pagine del SOC della produzione. ARX Shield mostra le vulnerabilità aperte e permette di isolare una macchina sospetta, mentre ARX Expose segnala i servizi esposti su internet e gli account aziendali coinvolti in violazioni.

Ultimo aggiornamento: 27 ottobre 2026