Universitatea Tehnică din Danemarca (DTU) a anunțat că informațiile personale cel mult 200.000 de utilizatori ar putea fi compromise după ce hackerii au accesat sistemul instituțional de gestionare a identităților și au descărcat un volum mare de date.
Potrivit DTU, atacatorul a folosit credențiale furate pentru a se conecta la DTUBasen, sistemul de management al identităților și accesului (IAM) al universității, obținând astfel acces la date acumulate pe parcursul a peste două decenii.
Universitatea a menționat că nu poate „determina cu precizie ce informații au fost descărcate sau câte persoane au fost afectate”.
DTUBasen gestionează datele a aproximativ 40.000 de utilizatori activi și a aproximativ 160.000 de foști utilizatori.
Datele expuse ale utilizatorilor activi includ numerele de înregistrare civilă daneze (CPR), numele complete, adresele de domiciliu, fotografiile de profil, adresele de e-mail de serviciu, titlurile posturilor și alte informații profesionale.
Baza de date conținea, de asemenea, numele, relațiile de rudenie și numerele de telefon ale persoanelor de contact de urgență ale utilizatorilor, acolo unde acestea fuseseră furnizate.
În cazul foștilor utilizatori, datele privind adresele de domiciliu, fotografiile de profil și informațiile despre persoanele de contact sunt șterse automat după șase luni, potrivit universității.
„Acesta este un atac grav împotriva DTU și regretăm profund incertitudinea pe care o provoacă persoanelor ale căror informații ar fi putut fi afectate”, a declarat Bjarke Bak Christensen, directorul universității.
„Prima noastră prioritate a fost să stabilim amploarea atacului, să îi limităm consecințele și să ne asigurăm că persoanele afectate sunt notificate și știu ce măsuri să ia”, a adăugat acesta.
DTU avertizează că infractorii cibernetici ar putea folosi numerele CPR expuse și alte date personale pentru fraudă de identitate sau pentru a face atacurile de tip phishing mai credibile.
Orice persoană care a fost angajat, student, invitat sau partener extern al DTU începând din 2003 ar putea fi afectată. Universitatea va notifica toți angajații actuali și foști, însă nu toți studenții ale căror numere CPR sunt deținute de instituție vor fi contactați direct; anunțul public face parte din efortul de a ajunge și la persoanele care nu pot fi contactate individual.
Persoanele potențial afectate sunt sfătuite să fie vigilente față de e-mailuri, mesaje text sau apeluri telefonice suspecte, să nu divulge parole sau informații sensibile, să schimbe parolele folosite și la alte servicii și să plaseze o alertă de credit asociată numărului CPR afectat.
