DTU:s dataintrång kan påverka upp till 200 000 personer

Dataintrånget hos DTU kan ha exponerat personuppgifter som tillhör upp till 200 000 nuvarande och tidigare användare vid universitetet. Angripare använde komprometterade inloggningsuppgifter för att få tillgång till Danmarks Tekniska Universitets system för identitets- och åtkomsthantering, DTUBasen.

DTU uppger att inkräktaren laddade ner en stor mängd data. Universitetet kan dock inte bekräfta exakt vilken information angriparen kom över eller hur många personer som påverkades av incidenten.

Systemet innehåller uppgifter om nästan 40 000 aktiva användare och omkring 160 000 tidigare användare. Därför representerar dessa siffror den potentiellt drabbade gruppen snarare än ett bekräftat antal offer.

Universitetsuppgifter sträcker sig mer än två decennier tillbaka

DTU uppger att alla som sedan 2003 har varit knutna till universitetet som anställda, studenter, gäster eller externa samarbetspartner kan vara berörda.

För aktiva användare omfattar de potentiellt exponerade uppgifterna danska personnummer, så kallade CPR-nummer, samt namn, hemadresser och profilbilder.

Systemet lagrar även arbetsrelaterade e-postadresser, befattningar, kontorsplatser och annan anställningsinformation. Tillsammans skulle dessa uppgifter kunna hjälpa kriminella att skapa övertygande meddelanden som hänvisar till en persons koppling till universitetet.

Den tillgängliga informationen fastställer dock inte när angriparna först fick tillgång eller hur de kom över de komprometterade inloggningsuppgifterna.

Kontaktuppgifter till anhöriga kan också vara berörda

Den potentiella exponeringen omfattar fler än personer som har universitetskonton. Om aktiva användare har angett nödkontakter innehöll DTUBasen även namn, telefonnummer och relation till deras närmast anhöriga.

DTU uppger dock att universitetet inte lagrar CPR-nummer för dessa anhöriga.

Universitetet tillämpar även andra regler för lagring av uppgifter om tidigare användare. Deras hemadresser, profilbilder och information om närmast anhöriga raderas automatiskt efter sex månader.

Därför varierar den information som potentiellt varit tillgänglig för angriparna mellan nuvarande och tidigare användare.

Direkta meddelanden kommer inte att nå alla

DTU använder e-Boks för att skicka meddelanden om dataintrånget till personer som potentiellt berörs. Universitetet använder denna digitala brevlådetjänst för att kommunicera med studenter och personal.

Universitetet uppger att alla nuvarande och tidigare anställda kommer att informeras. De direkta meddelandena kommer dock inte att nå alla nuvarande eller tidigare studenter vars CPR-nummer finns lagrade.

Samtidigt har DTU endast CPR-nummer för en liten andel av sina gäster och externa samarbetspartner.

Det offentliga meddelandet är därför en del av universitetets arbete för att nå personer som inte kan kontaktas direkt. DTU har också bett läsare att dela informationen med tidigare kontakter vid universitetet.

Universitetet varnar för bedrägerier och riktade meddelanden

DTU varnar för att kriminella kan missbruka exponerade CPR-nummer och personuppgifter för identitetsbedrägerier eller mer övertygande nätfiskeförsök.

Personer som potentiellt berörs av dataintrånget hos DTU bör vara försiktiga med oväntade e-postmeddelanden, sms och telefonsamtal. Att någon känner till en persons koppling till universitetet eller personliga uppgifter bevisar inte att avsändaren är legitim.

Universitetet rekommenderar också att man inte delar lösenord eller känsliga uppgifter som svar på oväntad kommunikation. På samma sätt bör användare betrakta oväntade autentiseringsförfrågningar och okänd inloggningsaktivitet som misstänkta.

Råden omfattar även att byta lösenord på andra tjänster där samma inloggningsuppgifter används som för ett DTU-konto. Dessutom rekommenderar universitetet att en kreditvarning registreras för ett berört CPR-nummer.

DTU uppger att dess prioriteringar omfattar att fastställa intrångets omfattning, begränsa konsekvenserna och informera de personer som potentiellt berörs.