Dataintrång vid Köpenhamns universitet når 525 000 personer

Sammanfattning

Ett dataintrång vid Köpenhamns universitet har gett angripare tillgång till personuppgifter om cirka 525 000 personer. Det meddelade universitetet den 23 oktober 2026. Uppgifterna fanns i en databas i en testmiljö och omfattar bland annat fullständiga namn, danskt CPR-nummer, telefonnummer och privat e-postadresser. Intrånget upptäcktes tisdagen den 20 oktober och har anmälts till den danska dataskyddsmyndigheten. Den 25 oktober uppgav universitetet att pinkoder till id-kort för omkring 20 000 anställda och studenter hade röjts. Dagen därpå stängde universitetet flera administrativa system efter ytterligare ett hackerangrepp. Hur angriparna tog sig in har inte offentliggjorts.

Personnummer i en testmiljö

Testmiljöer används för att prova system innan de tas i drift. I en testmiljö vid Köpenhamns universitet fanns en databas med verkliga personuppgifter. Enligt universitetets danska incidentsida innehåller databasen uppgifter om cirka 525 000 personer: namn, CPR-nummer (danska personnumre), arbetstelefonnummer, privat telefonnummer och privat e-postadresser. Universitetet undersöker fortfarande exakt vad som läckt. Det finns enligt universitetet inga tecken på att de system som används i den dagliga verksamheten har påverkats.

Vilket system testmiljön hörde till har universitetet inte uttala sig om.

Inte heller vilka de 525 000 personerna är.

Det gick tre dagar från att intrånget upptäcktes till dess att universitetet offentliggjorde informationen, fredagen den 23 oktober kl. 20.05. Universitetet bedömer att händelsen omfattas av GDPR, men har inte uppgett när anmälan till Datatilsynet gjordes.

Pinkoder byttes innan informationen offentliggjordes

I en uppdatering den 25 oktober kl. 20.00 uppgav universitetet att även pinkoderna till id-korten för cirka 20 000 personer hade röjts i samma angrepp. Av säkerhetsskäl väntade universitetet med att offentliggöra uppgiften tills koderna hade bytts ut. Redan på fredagskvällen stängdes den fysiska tillgången till utvalda kritiska platser på campus. De har nu öppnat igen.

Nytt angrepp den 26 oktober

Måndagen den 26 oktober kl. 17.50 meddelade universitetet att flera administrativa system, däribland Workzone och Nimbus, hade stängts ned på ett kontrollerat sätt i förebyggande syfte. Beslutet fattades efter ett nytt hackerangrepp tidigare samma dag. Webbplatserna kunde vara svåra att nå. Fler kommentarer har inte lämnats.

Även Aarhus universitet och DTU drabbades i oktober

Danmarks ministerium för samhällssäkerhet och beredskap och Styrelsen for Samfundssikkerhed följer händelserna vid Köpenhamns universitet och Aarhus universitet, enligt ett pressmeddelande den 23 oktober. I början av oktober meddelade Danmarks tekniska universitet (DTU) att angripare med kapade användarprofiler tagit sig in i DTUBasen, universitetets system för identitets- och behörighetshantering, med personuppgifter ända från 2003. Aarhus universitet anger att upp till 200 000 DTU-användare kan vara berörda.

För Köpenhamns universitet är det andra gången i år. I maj drabbades lärplattformen Absalon, som bygger på Instructures Canvas, när leverantören angreps. Enligt universitetets meddelande om Absalon gällde det kursuppgifter för upp till 160 000 nuvarande och tidigare studenter och i värsta fall 70 000 lärare och administratörer. Datatilsynet underrättades den 5 maj 2026.

Fortfarande obesvarade frågor den 27 oktober

Efter dataintrång vid Köpenhamns universitet återstår flera frågor. Universitetet har inte förklarat hur angriparna nådde testmiljön eller om angreppet den 26 oktober hänger ihop med det första. Ingen angripare har pekats ut. Det är också oklart om de 525 000 personerna kommer att underrättas var för sig.

Inga CPR-nummer läckte i maj

Efter Canvasintrånget i maj skrev universitetet att angriparna inte hade kommit åt CPR-nummer, lösenord eller skyddade adressuppgifter. Nu är CPR-numret ett av fälten i den röjda databasen. Den låg dessutom i en testmiljö och inte i ett produktionssystem. DTU varnar i sitt meddelande för att CPR-nummer i fel händer kan användas för identitetsbedrägerier och mer trovärdig phishing. Per den 27 oktober hade Köpenhamns universitet inte sagt om nedstängningen den 26 oktober rörde samma miljö.

Referenser

1. Driftsforstyrrelser på KU
2. Operational disruptions at UCPH
3. Security breach in Absalon
4. Cyberhændelserne ved Københavns Universitet og Aarhus Universitet
5. Cyberattack on DTU: Notification of a personal data breach
6. Why Danish universities are attractive targets for hackers

This post is also available in: