Копенгагенский университет подтвердил, что злоумышленники проникли в одну из его тестовых сред, где лежали персональные данные 525 000 человек, включая датские номера CPR. Утечка университета Копенгагена показывает знакомую проблему: копию рабочей базы в тестовой среде охраняют хуже, а отвечать за неё так же.
Коротко
- Злоумышленники попали в тестовую среду Копенгагенского университета с данными 525 000 человек: ФИО, CPR, телефоны, почта.
- Отдельно раскрыты PIN-коды физического доступа 20 000 студентов и сотрудников; доступ в часть помещений ограничили до выдачи новых кодов.
- Исполнители атаки, вектор входа, CVE и срок доступа не названы; уведомление направлено в Datatilsynet, случай подпадает под GDPR.
Утечка университета Копенгагена: что подтвердили официально
Копенгагенский университет, старейший вуз Дании (основан в 1479 году), признал: посторонние получили доступ к одной из его тестовых сред. Вторжение обнаружили во вторник (примерно 20 октября 2026 года), публично объявили в пятницу. Первая цифра в сообщении: данные 525 000 человек.
По словам университета, атаку локализовали, а доступ злоумышленника заблокировали. Признаков доступа к рабочим системам и срыва учёбы пока нет, но это текущая оценка, а не итог расследования. Уведомление об инциденте направлено в датский надзорный орган Datatilsynet; случай подпадает под GDPR.
Чего в сообщениях нет: имени группировки, вредоносного ПО, CVE, способа входа, срока доступа и ответа на вопрос, скопировали ли записи или только просмотрели.
Почему пострадавших в 11 раз больше, чем студентов и сотрудников?
В университете около 36 800 студентов и 10 700 сотрудников, вместе примерно 47 500 человек. Записей в 11 раз больше. Похоже, в тестовой среде лежала база за много лет, но кто в неё входит, университет не уточнил.
Предварительный список полей: ФИО, номер CPR, телефон, электронная почта. CPR, датский десятизначный идентификатор формата ДДММГГ-XXXX, содержит дату рождения, и сменить его почти невозможно. Для Дании это не первая история с CPR: недавно через аккаунт частной компании получили данные 8,8 млн человек из реестра CPR, но там другой механизм и другой владелец данных.
Связка ФИО, CPR, телефона и почты позволяет звонить и писать от имени вуза, банка или ведомства с убедительной «проверкой личности». Университет сам предупреждает о фишинге и социальной инженерии и советует перепроверять любые входящие запросы по независимому каналу.
Зачем ограничили доступ в кампус, если взломали тест?
Потому что раскрытыми оказались и PIN-коды физического доступа. В более позднем обновлении (около 25 октября) университет добавил 20 000 сотрудников и студентов, чьи коды попали в утечку. Складывать их с 525 000 нельзя: пересечение групп университет не уточнял.
Доступ в часть критичных помещений кампуса ограничили и открывают постепенно, по мере выдачи новых кодов. Судя по всему, кто-то скопировал данные СКУД в менее защищённую систему, и утечка стала вопросом охраны зданий.
Из практики. На пентестах мы регулярно находим стенды с выгрузкой рабочей базы «для реалистичности», с общими с продом сервисными учётками, без EDR и централизованных логов. Тест считают неважным, поэтому его последним обновляют и первым забывают. После перевыпуска PIN проверьте, что старые коды отклоняет каждый контроллер, включая автономный режим, и сверьте журналы СКУД с попытками входа по старым кодам.
Что проверить у себя, пока тест не стал утечкой
Регулятор спросит за стенд так же, как за прод. GDPR требует защищать обработку данных (статьи 5(1)(f) и 32) независимо от названия среды. В России та же логика заложена в 152-ФЗ, а с 30 мая 2025 года за утечки ПДн грозят оборотные штрафы.
- Инвентаризация test, dev и staging: публичные адреса, VPN, связи с продом, логи, агенты EDR. Забытые стенды с адресами в интернете атакующие находят первыми.
- Реальные ПДн в тесте только после маскирования. Псевдонимизированные данные по GDPR остаются персональными, если человека можно восстановить по CPR или почте.
- Отдельные секреты для теста: пароли, SSH-ключи, токены CI/CD и сервисные аккаунты не должны совпадать с продом.
- Учётные данные физического доступа не выходят за пределы СКУД.
- При инциденте сначала снимайте образы дисков, память и журналы, потом чистите стенд, иначе потеряете след входа и объёма копирования. Если доступ уже подтверждён, а объём ещё считают, поможет реагирование на инцидент.
Расследование в Копенгагене продолжается, университет обещает новые подробности по мере его хода.
Частые вопросы
Сколько человек затронула утечка в университете Копенгагена?
Университет называет 525 000 человек, чьи данные лежали в тестовой среде. Позже он добавил 20 000 студентов и сотрудников с раскрытыми PIN-кодами доступа.
Попали ли номера CPR в утечку?
Да, CPR входит в предварительный список полей вместе с ФИО, телефоном и почтой. Сменить CPR почти невозможно, поэтому риск целевого фишинга и мошенничества с проверкой личности сохранится надолго.
Чем опасна утечка PIN-кодов доступа в кампус?
По таким кодам можно пройти в помещения, поэтому университет ограничил доступ в часть критичных локаций и открывает их по мере выдачи новых кодов.
Были ли взломаны рабочие системы университета?
По текущей оценке университета, признаков доступа к рабочим системам и срыва учёбы нет. Это промежуточный вывод, расследование продолжается.
Куда университет Копенгагена сообщил об утечке?
В датский надзорный орган по защите данных Datatilsynet. Университет также указывает, что случай подпадает под GDPR, и работает с профильными регуляторами.
Если ваши стенды копируют рабочую базу, проверяйте их так же строго, как прод. SecurityLab.pro проводит пентест всех сред, включая test и staging, и показывает, какие данные и доступ из них можно получить.