Hackere har fået adgang til DTU’s system til identitets- og rettighedsstyring og hentet en større mængde data. Oplysninger om op mod 200.000 nuværende og tidligere brugere kan være berørt, oplyser universitetet i en offentlig meddelelse.
Angrebet ramte DTUBasen, som indeholder personoplysninger tilbage til 2003. Hackerne skaffede sig adgang ved at kompromittere DTU-profiler og udnytte dem til at komme ind i systemet.
DTU’s IT-beredskab har inddæmmet angrebet, men universitetet kan endnu ikke fastslå præcist, hvilke oplysninger der er hentet, eller hvor mange personer der er berørt.
– Det her er et alvorligt angreb mod DTU, og vi beklager meget den usikkerhed, det skaber for de mennesker, hvis oplysninger kan være berørt, siger universitetsdirektør Bjarke Bak Christensen.
CPR-numre og adresser kan være berørt
DTUBasen indeholder oplysninger om cirka 40.000 aktive og 160.000 tidligere brugere. Det omfatter medarbejdere, studerende, gæster og samarbejdspartnere.
For aktive brugere kan de berørte oplysninger blandt andet være CPR-nummer, fuldt navn, privatadresse og profilbillede samt arbejdsmail, titel og kontorlokation. Registrerede oplysninger om pårørendes navn, relation og telefonnummer kan også være omfattet.
For tidligere brugere bliver privatadresse, profilbillede og oplysninger om pårørende slettet automatisk efter seks måneder. CPR-nummer og fuldt navn findes dog fortsat i systemet.
DTU advarer om, at oplysningerne potentielt kan bruges til identitetsmisbrug eller gøre falske mails, sms’er og telefonopkald mere troværdige.
DTU opfordrer til ekstra opmærksomhed
Alle, der er eller siden 2003 har været tilknyttet DTU som medarbejder, studerende, gæst eller samarbejdspartner, kan være berørt.
Universitetet anbefaler, at de er særligt opmærksomme på mistænkelige henvendelser og undlader at udlevere passwords eller andre fortrolige oplysninger. De bør heller ikke godkende uventede login- eller godkendelsesanmodninger.
Har man genbrugt sit DTU-password på andre tjenester, anbefaler universitetet at ændre det dér. DTU opfordrer desuden til at overveje en kreditadvarsel på CPR-nummeret via Borger.dk.
Personer med navne- og adressebeskyttelse bør ifølge universitetet være særligt opmærksomme, fordi et læk kan øge risikoen for uønsket kontakt, opsporing eller chikane.
Berørte får besked via e-Boks
DTU underretter nuværende og tidligere medarbejdere samt næsten alle nuværende og tidligere studerende, som universitetet har CPR-nummer på, via e-Boks.
Den offentlige meddelelse skal samtidig nå blandt andre gæster, samarbejdspartnere og pårørende, som DTU ikke har mulighed for at kontakte direkte.
Sagen er anmeldt til Datatilsynet og overdraget til de relevante myndigheder til efterforskning. DTU undersøger også angrebet sammen med eksterne specialister og vil løbende offentliggøre nye oplysninger.
:NB:
