Hackere har fået adgang til DTU’s system til identitets- og rettighedsstyring og hentet en større mængde data. Oplysninger om op mod 200.000 nuværende og tidligere brugere kan være berørt.
Danmarks Tekniske Universitet (DTU) har konstateret et alvorligt brud på persondatasikkerheden i systemet DTUBasen. Ved et målrettet hackerangreb har uvedkommende kompromitteret DTU-profiler og brugt dem til at få adgang til systemet.
DTU’s IT-beredskab har inddæmmet angrebet. Sammen med eksterne specialister undersøger universitetet fortsat angrebets omfang og hændelsesforløb.
DTU kan endnu ikke fastslå præcist, hvilke oplysninger der er hentet, eller hvor mange personer der er berørt.
“Det her er et alvorligt angreb mod DTU, og vi beklager meget den usikkerhed, det skaber for de mennesker, hvis oplysninger kan være berørt. Vores første prioritet har været at få klarlagt omfanget, begrænse konsekvenserne og sørge for, at de berørte får besked og ved, hvordan de skal forholde sig,” siger universitetsdirektør Bjarke Bak Christensen.
“Vores egne undersøgelser og myndighedernes efterforskning fortsætter, og vi vil informere åbent og hurtigst muligt, efterhånden som vi får mere viden.”
Oplysninger kan gå tilbage til 2003
DTUBasen indeholder personoplysninger, der går tilbage til 2003. Databasen har oplysninger om cirka 40.000 aktive og cirka 160.000 tidligere brugere.
De potentielt berørte kan derfor være både nuværende og tidligere medarbejdere, studerende, gæster og samarbejdspartnere.
For aktive brugere kan oplysningerne blandt andet omfatte:
- CPR-nummer, fuldt navn, privatadresse og profilbillede
- arbejdsmailadresse, arbejdstitel, kontorlokation og andre arbejdsrelaterede oplysninger
- navn, relation og telefonnummer på pårørende, hvis brugeren har registreret oplysningerne.
For tidligere brugere slettes privatadresse, profilbillede og oplysninger om pårørende automatisk efter seks måneder. DTUBasen indeholder dog fortsat blandt andet CPR-nummer og fuldt navn.
Sagen er anmeldt til Datatilsynet og overdraget til de relevante myndigheder til videre efterforskning. DTU undersøger samtidig sagen sammen med eksterne specialister.
DTU advarer om risiko for misbrug
Hvis CPR-numre og andre personoplysninger er kommet i uvedkommendes hænder, kan oplysningerne potentielt bruges til identitetsmisbrug. De kan også gøre phishingforsøg og andet misbrug mere troværdigt.
Personer, der er eller siden 2003 har været medarbejdere, studerende, gæster eller samarbejdspartnere på DTU, kan være berørt.
DTU anbefaler derfor, at man er særligt opmærksom på:
- mistænkelige mails, sms’er og telefonopkald, også hvis afsenderen tilsyneladende kender oplysninger om dig eller din relation til DTU
- uventede anmodninger om passwords eller andre fortrolige oplysninger
- uventede login- eller godkendelsesanmodninger
- genbrugte DTU-passwords på andre tjenester, hvor passwordet bør skiftes.
DTU anbefaler desuden, at man overvejer at oprette en kreditadvarsel på sit CPR-nummer på Borger.dk.
Personer med navne- og adressebeskyttelse bør være særligt opmærksomme. Hvis oplysninger om navn og adresse er kommet i uvedkommendes hænder, kan det øge risikoen for uønsket kontakt, opsporing eller anden chikane. DTU henviser til Sikkerdigital.dk for yderligere information om, hvordan man kan beskytte sig.
Berørte personer kontaktes
Nuværende og tidligere medarbejdere samt næsten alle nuværende og tidligere studerende, som DTU har CPR-nummer på, bliver underrettet via e-Boks og vil hurtigst muligt modtage en personlig besked.
DTU har kun CPR-numre på få gæster og samarbejdspartnere og har ikke CPR-numre på pårørende, hvis kontaktoplysninger er registreret i DTUBasen.
Derfor offentliggør DTU samtidig en meddelelse for at nå personer, som universitetet ikke har mulighed for at kontakte direkte.
DTU opdaterer sin information, efterhånden som der kommer væsentlige nye oplysninger. Personer, der har spørgsmål om, hvorvidt de kan være berørt, eller hvordan de skal forholde sig, kan finde yderligere information og kontakte DTU via universitetets IT-information.