Universitatea din Copenhaga: breșă într-un mediu de test

Universitatea din Copenhaga (UCPH), cea mai veche universitate din Danemarca, a confirmat că atacatorii au pătruns într-unul dintre mediile sale de test și au obținut date personale despre aproximativ 525.000 de persoane. Același atac a compromis și codurile PIN ale legitimațiilor a circa 20.000 de angajați și studenți. Faptele sunt relatate de BleepingComputer, Help Net Security, Infosecurity Magazine și DataBreaches.net, care citează comunicatele universității.

Ce s-a întâmplat, zi cu zi

• 20 octombrie: intruziunea este detectată și, potrivit universității, ținută sub control; accesul atacatorilor este blocat.
• 23 octombrie: UCPH anunță public atacul asupra mediului de test. În aceeași seară, după o evaluare de securitate, restricționează accesul fizic în anumite locuri din campus.
• 25 octombrie: o actualizare arată că atacul a compromis PIN-urile legitimațiilor a circa 20.000 de persoane. Universitatea explică faptul că nu a spus-o mai devreme din motive de securitate, până când codurile nu au fost schimbate. Cu noile PIN-uri, locurile închise se redeschid.
• 26 octombrie: UCPH oprește preventiv și controlat Workzone, Nimbus și alte sisteme administrative, avertizând că site-urile sale ar putea fi greu accesibile. Inițial vorbește despre un nou atac.
• 27 octombrie: evaluarea este revizuită. Potrivit universității, nu a fost un al doilea atac, ci o activitate în sistem care la început părea să indice unul; oprirea rămâne totuși necesară și legată de atacul inițial, iar unele sisteme au încă întreruperi.

Universitatea afirmă că nu are indicii că atacatorii ar fi ajuns la sistemele care susțin activitatea zilnică. Incidentul a fost raportat autorității daneze pentru protecția datelor, deoarece intră sub incidența GDPR.

Ce date

Potrivit Help Net Security, datele includ nume, coduri naționale de identitate (CPR), numere de telefon de serviciu și personale și adrese de email personale; BleepingComputer redă aceeași listă mai pe scurt. Universitatea analizează încă amploarea exactă a breșei. Infosecurity Magazine vorbește despre „peste 520.000” de persoane.

Sursele diferă într-un punct: BleepingComputer descrie cele 20.000 de PIN-uri ca privind persoane „în plus”, în timp ce universitatea, citată de Help Net Security, precizează că nu este o nouă breșă față de cea anunțată pe 23 octombrie. Nu este clar dacă acele 20.000 de persoane sunt incluse în cele 525.000.

Un detaliu de reținut: potrivit BleepingComputer, universitatea are aproximativ 36.800 de studenți și 10.700 de angajați. Numărul persoanelor afectate este deci mult mai mare decât populația actuală; sursele nu spun cui aparțin celelalte înregistrări.

Ce nu se știe

Sursele nu indică vectorul de acces, tipul mediului de test, autorul atacului și nici eventuale revendicări sau cereri de răscumpărare. Nu au fost publicați indicatori de compromitere. Orice ipoteză despre tehnica folosită ar fi, în acest moment, o speculație.

De ce contează: date reale în afara producției

Cazul scoate în evidență o problemă răspândită. Mediile de test, preproducție și dezvoltare conțin adesea copii ale datelor din producție, dar primesc mai puțină atenție: actualizări mai lente, conturi partajate, acces mai larg pentru dezvoltatori sau furnizori, jurnale puține sau deloc. Dacă în ele există date reale, valoarea lor pentru un atacator este aceeași ca a producției.

Două elemente fac acest incident deosebit de delicat:

• CPR este un identificator permanent, folosit în Danemarca pentru foarte multe servicii; ca și CNP-ul în România, nu poate fi „schimbat” ca o parolă. Sursele subliniază riscul de phishing și inginerie socială față de persoanele afectate;
• PIN-urile legitimațiilor leagă incidentul informatic de securitatea fizică: universitatea a trebuit să închidă unele zone și să redistribuie codurile înainte de a le redeschide.

Impactul pentru companiile europene și italiene

Cine prelucrează date personale are aceleași obligații GDPR: notificarea autorității de supraveghere în 72 de ore (art. 33), informarea persoanelor vizate atunci când riscul este ridicat (art. 34) și, în amonte, protecția datelor încă din faza de proiectare, minimizarea și pseudonimizarea (art. 25 și 32), care se aplică și mediilor de test. Pentru entitățile care intră sub incidența NIS2 (în Italia, Decretul legislativ 138/2024), un incident semnificativ impune și o avertizare timpurie către CSIRT Italia în 24 de ore. Universitățile, institutele de cercetare și organizațiile din sănătate, care gestionează arhive istorice mari de persoane, sunt printre cele mai expuse.

Ce să faci acum

• Inventariază mediile care nu sunt de producție (test, preproducție, dezvoltare, instruire) și verifică ce date personale reale conțin.
• Înlocuiește datele reale cu date mascate, pseudonimizate sau sintetice; șterge copiile vechi care nu mai sunt folosite.
• Separă mediile: fără credențiale, chei, conturi de serviciu sau conexiuni comune cu producția; MFA pentru toate accesele administrative, inclusiv în test.
• Adu jurnalele mediilor de test în monitorizare și setează alerte pentru exporturi masive, interogări neobișnuite și accese de la adrese noi.
• Ține sistemele de acces fizic (PIN-uri, legitimații) departe de rețelele și bazele de date accesibile din mediile de test și pregătește o procedură pentru schimbarea rapidă a codurilor.
• Dacă au ieșit identificatori precum CPR sau CNP, avertizează persoanele despre riscul de phishing țintit și explică-le cum să verifice cererile pe un alt canal.
• În planul de răspuns, prevede oprirea controlată a sistemelor și o comunicare care poate fi corectată pe parcurs, așa cum a făcut UCPH.

Cum ajută ARXDOME

Cu ARX Sentry, agentul ARXDOME se instalează și pe serverele de test: jurnale, evenimente de securitate, autentificări și integritatea fișierelor ajung în aceleași pagini SOC ca producția. ARX Shield arată vulnerabilitățile deschise și îți permite să izolezi o mașină suspectă, iar ARX Expose semnalează serviciile expuse pe internet și conturile companiei implicate în breșe.

Ultima actualizare: 27 octombrie 2026