Datainnbruddet hos DTU kan ramme opptil 200 000 personer

Datainnbruddet hos DTU kan ha eksponert personopplysninger som tilhører opptil 200 000 nåværende og tidligere brukere ved universitetet. Angripere brukte kompromitterte påloggingsopplysninger for å få tilgang til Danmarks Tekniske Universitets system for identitets- og tilgangsstyring, DTUBasen.

DTU opplyser at inntrengeren lastet ned en stor mengde data. Universitetet kan imidlertid ikke bekrefte nøyaktig hvilken informasjon angriperen hentet ut, eller hvor mange personer som ble berørt av hendelsen.

Systemet inneholder opplysninger om nesten 40 000 aktive brukere og rundt 160 000 tidligere brukere. Disse tallene representerer derfor den potensielt berørte gruppen, og ikke et bekreftet antall ofre.

Universitetsopplysninger strekker seg mer enn to tiår tilbake

DTU opplyser at alle som har vært tilknyttet universitetet som ansatt, student, gjest eller ekstern samarbeidspartner siden 2003, kan være berørt.

For aktive brukere omfatter de potensielt eksponerte opplysningene danske personnumre, kjent som CPR-numre, i tillegg til navn, hjemmeadresser og profilbilder.

Systemet lagrer også jobbrelaterte e-postadresser, stillingstitler, kontorplasseringer og annen informasjon om arbeidsforhold. Samlet kan disse opplysningene hjelpe kriminelle med å lage overbevisende meldinger som viser til en persons tilknytning til universitetet.

Den tilgjengelige informasjonen fastslår imidlertid ikke når angriperne først fikk tilgang, eller hvordan de fikk tak i de kompromitterte påloggingsopplysningene.

Kontaktopplysninger til nærmeste pårørende kan også være berørt

Den potensielle eksponeringen omfatter flere enn personer som har universitetskontoer. Der aktive brukere har oppgitt nødkontakter, inneholdt DTUBasen også navn, telefonnumre og relasjonen til deres nærmeste pårørende.

DTU opplyser imidlertid at universitetet ikke lagrer CPR-numre for disse pårørende.

Universitetet har også andre regler for oppbevaring av opplysninger om tidligere brukere. Hjemmeadresser, profilbilder og informasjon om nærmeste pårørende slettes automatisk etter seks måneder.

Dermed varierer informasjonen som potensielt var tilgjengelig for angriperne mellom nåværende og tidligere brukere.

Direkte varsler vil ikke nå alle

DTU bruker e-Boks til å sende varsler om datainnbruddet til personer som potensielt er berørt. Universitetet bruker denne digitale postkassetjenesten til å kommunisere med studenter og ansatte.

Universitetet opplyser at alle nåværende og tidligere ansatte vil bli varslet. De direkte varslene vil imidlertid ikke nå alle nåværende eller tidligere studenter som universitetet har CPR-nummeret til.

Samtidig har DTU CPR-numre for bare en liten andel av gjestene og de eksterne samarbeidspartnerne.

Den offentlige kunngjøringen er derfor en del av universitetets arbeid med å nå personer som det ikke kan kontakte direkte. DTU har også bedt lesere om å dele varselet med tidligere kontakter ved universitetet.

Universitetet advarer mot svindel og målrettede meldinger

DTU advarer om at kriminelle kan misbruke eksponerte CPR-numre og personopplysninger til identitetssvindel eller mer overbevisende phishing-forsøk.

Personer som potensielt er berørt av datainnbruddet hos DTU, bør være forsiktige med uventede e-poster, tekstmeldinger og telefonsamtaler. At noen kjenner til en persons tilknytning til universitetet eller personlige opplysninger, beviser ikke at avsenderen er legitim.

Universitetet anbefaler også å ikke dele passord eller sensitive opplysninger som svar på uventet kommunikasjon. På samme måte bør brukere behandle uventede autentiseringsforespørsler og ukjent påloggingsaktivitet som mistenkelig.

Rådene omfatter også å endre passord på andre tjenester som bruker de samme påloggingsopplysningene som en DTU-konto. I tillegg anbefaler universitetet å registrere et kredittvarsel på et berørt CPR-nummer.

DTU opplyser at prioriteringene inkluderer å fastslå omfanget av innbruddet, begrense konsekvensene og informere dem som potensielt er berørt.