Databruddet hos DTU kan berøre op mod 200.000 personer

Databruddet hos DTU kan have eksponeret personoplysninger tilhørende op mod 200.000 nuværende og tidligere brugere på universitetet. Angribere brugte kompromitterede loginoplysninger til at få adgang til Danmarks Tekniske Universitets identitets- og adgangsstyringssystem, DTUBasen.

DTU oplyser, at angriberen downloadede en stor mængde data. Universitetet kan dog ikke bekræfte præcis, hvilke oplysninger angriberen hentede, eller hvor mange personer hændelsen berørte.

Systemet indeholder oplysninger om næsten 40.000 aktive brugere og omkring 160.000 tidligere brugere. Disse tal repræsenterer derfor den potentielt berørte gruppe og ikke et bekræftet antal ofre.

Universitetsoplysninger går mere end to årtier tilbage

DTU oplyser, at alle, der siden 2003 har været tilknyttet universitetet som medarbejder, studerende, gæst eller ekstern samarbejdspartner, kan være berørt.

For aktive brugere omfatter de potentielt eksponerede oplysninger danske personnumre, kendt som CPR-numre, samt navne, hjemmeadresser og profilbilleder.

Systemet gemmer også arbejdsrelaterede e-mailadresser, stillingsbetegnelser, kontorplaceringer og andre oplysninger om ansættelsesforhold. Samlet set kan disse oplysninger hjælpe kriminelle med at skabe overbevisende beskeder, der henviser til en persons tilknytning til universitetet.

De tilgængelige oplysninger fastslår dog ikke, hvornår angriberne først fik adgang, eller hvordan de fik fat i de kompromitterede loginoplysninger.

Kontaktoplysninger på pårørende kan også være berørt

Den potentielle eksponering omfatter flere end personer med universitetskonti. Hvis aktive brugere har angivet nødkontakter, indeholdt DTUBasen også deres nærmeste pårørendes navne, telefonnumre og relation til brugeren.

DTU oplyser dog, at universitetet ikke gemmer CPR-numre for disse pårørende.

Universitetet anvender også forskellige regler for opbevaring af oplysninger om tidligere brugere. Deres hjemmeadresser, profilbilleder og oplysninger om nærmeste pårørende slettes automatisk efter seks måneder.

Derfor varierer de oplysninger, som potentielt har været tilgængelige for angriberne, mellem nuværende og tidligere brugere.

Direkte underretninger vil ikke nå alle

DTU bruger e-Boks til at sende underretninger om databruddet til personer, der potentielt er berørt. Universitetet bruger denne digitale postkassetjeneste til at kommunikere med studerende og medarbejdere.

Universitetet oplyser, at alle nuværende og tidligere medarbejdere vil blive underrettet. De direkte underretninger vil dog ikke nå alle nuværende eller tidligere studerende, hvis CPR-numre universitetet har registreret.

Samtidig har DTU kun CPR-numre på en lille del af sine gæster og eksterne samarbejdspartnere.

Den offentlige meddelelse er derfor en del af universitetets indsats for at nå personer, som det ikke kan kontakte direkte. DTU har også bedt læserne om at dele meddelelsen med tidligere kontakter på universitetet.

Universitetet advarer om svindel og målrettede beskeder

DTU advarer om, at kriminelle kan misbruge eksponerede CPR-numre og personoplysninger til identitetssvindel eller mere overbevisende phishingforsøg.

Personer, der potentielt er berørt af databruddet hos DTU, bør være forsigtige med uventede e-mails, sms’er og telefonopkald. At nogen kender til en persons tilknytning til universitetet eller personlige oplysninger, beviser ikke, at afsenderen er legitim.

Universitetet anbefaler også, at man ikke deler adgangskoder eller følsomme oplysninger som svar på uventet kommunikation. Ligeledes bør brugere betragte uopfordrede godkendelsesanmodninger og ukendt loginaktivitet som mistænkelig.

Vejledningen omfatter også at ændre adgangskoder på andre tjenester, der bruger de samme loginoplysninger som en DTU-konto. Derudover anbefaler universitetet at oprette en kreditadvarsel på et berørt CPR-nummer.

DTU oplyser, at universitetets prioriteter omfatter at fastslå omfanget af indbruddet, begrænse konsekvenserne og informere de personer, der potentielt er berørt.