L'Université de Copenhague (University of Copenhagen), au Danemark, a confirmé la survenue d'attaques cybernétiques au cours desquelles des pirates ont réussi à accéder à l'un des environnements de test de l'université, contenant des données personnelles concernant environ 525 000 personnes. L'établissement d'enseignement a détecté cette faille de sécurité mardi et l'a officiellement annoncée vendredi, avant de révéler dans une mise à jour ultérieure que 20 000 employés et étudiants supplémentaires ont été touchés suite à la divulgation de leurs codes d'identification personnels (PIN).
Nature des données exposées et étendue de l'impact
L'Université de Copenhague, qui est la plus ancienne université du Danemark et accueille des milliers d'étudiants et de chercheurs, poursuit ses enquêtes approfondies pour déterminer l'ampleur réelle de l'intrusion et ses conséquences. La liste des informations exposées comprend :
- Les noms complets des individus.
- Les numéros d'identification nationale danois (CPR).
- Les numéros de téléphone personnels.
- Les adresses électroniques.
Suite à la fuite des codes d'accès, l'université a pris des mesures de précaution en restreignant l'accès physique à certains sites sensibles au sein du campus, tout en travaillant à leur réouverture progressive parallèlement à la distribution de nouveaux codes d'accès aux utilisateurs concernés.
Qu'est-ce qui change concrètement ?
La direction de l'université a expliqué qu'elle avait réussi à contenir l'attaque et à couper l'accès des assaillants aux systèmes ciblés, sans aucun signe actuel indiquant que les systèmes soutenant les opérations quotidiennes ou les activités académiques et de recherche de l'université ont été perturbés. Cependant, cet incident augmente les risques pour les individus de subir des attaques de phishing et d'ingénierie sociale ; ce qui a poussé les autorités responsables à émettre des avertissements clairs aux étudiants et aux employés sur la nécessité de faire preuve d'une extrême prudence face aux communications non fiables et de vérifier indépendamment toute demande reçue.
Réponse réglementaire et enquêtes en cours
L'université a officiellement signalé l'incident à l'Agence danoise de protection des données (Danish Data Protection Agency), soulignant que l'événement relève du champ d'application du Règlement général sur la protection des données de l'Union européenne (RGPD), les mesures juridiques et réglementaires nécessaires étant prises avec les autorités de contrôle compétentes. L'université a promis de publier davantage de mises à jour sur l'évolution de l'étendue de l'impact dès que les résultats de l'examen interne seront disponibles.