Cyberangreb rammer universiteterne på stribe

På under en måned har tre store danske universiteter meldt om hackerangreb. DTU oplyste den 2. oktober, at op mod 200.000 personer kan være berørt. Københavns Universitet (KU) meddelte i ugen op til den 26. oktober, at oplysninger om cirka 525.000 personer er kompromitteret, og blev ramt igen mandag. Aarhus Universitet stoppede et indbrud på en server.

Ingen kilde dokumenterer en forbindelse mellem angrebene, og ingen har udpeget gerningsmænd. Det, der ligner hinanden, er målene og de data, der er i spil.

Tre angreb med tre forskellige adgangsveje

Hos DTU skaffede angriberne sig ifølge universitetet adgang til flere brugerprofiler og dermed til en brugerdatabase. En stor mængde data blev hentet, og det kan ifølge DTU omfatte CPR-numre, hjemmeadresser og telefonnumre. DTU kan endnu ikke sige præcist, hvad der er taget. Sagen er anmeldt til Datatilsynet, og Den Nationale Enhed for Særlig Kriminalitet er i dialog med DTU, oplyser Kristeligt Dagblad.

Hos KU fik hackerne ifølge TechSavvy adgang til et testmiljø, der indeholdt personoplysninger om cirka 525.000 mennesker. KU har oplyst, at det drejer sig om fulde navne, CPR-numre, arbejds- og privattelefonnumre og private e-mailadresser. Angrebet blev opdaget en tirsdag og meldt ud om fredagen, og KU har anmeldt det til Datatilsynet.

Læs også: PHP-sårbarheden var kendt i ti uger

På Aarhus Universitet nåede en hacker ind på en server og forsøgte at ændre adgangskoder for cirka 1.700 nuværende og tidligere ansatte og studerende. Forsøget mislykkedes, da indbruddet blev opdaget, oplyser TV 2 Kosmopol. Mandag den 26. oktober blev KU ramt igen, og universitetet lukkede flere administrative systemer. Antallet af berørte er ikke oplyst.

Hvorfor universiteterne er mål

Jens Myrup Pedersen, professor i cybersikkerhed ved Aarhus Universitet, peger på tre forhold. Universiteterne har store mængder personoplysninger, de har mange systemer, hvoraf nogle er gamle og ikke bygget til nutidens sikkerhedskrav, og deres tradition for åbenhed giver mange brugere med forskellige adgangsrettigheder. Som mulige angribere nævner han kriminelle, fremmede stater og aktivistgrupper.

Om DTU’s it-sikkerhed vil han ikke udtale sig specifikt, men han mener, at angrebet rejser tre spørgsmål: hvilke konti der havde adgang til de personlige data, hvor godt de var beskyttet, og om der er en grænse for, hvor meget data der kan trækkes ud, før en alarm udløses. Spørgsmålene er stillet til DTU’s sag, men de gælder alle tre.

Styrelsen for Samfundssikkerhed vurderede i en rapport fra 2025, at truslen fra cyberkriminalitet mod danske universiteter er “meget høj”. Det er altså ikke en overraskelse for myndighederne, at sektoren er under pres.

Hvorfor lå 525.000 personers data i et testmiljø?

Testmiljøer bruges til at afprøve systemer uden at ramme driften, og det er i sig selv ikke usædvanligt, at de er svagere beskyttet end produktionssystemer. At et testmiljø indeholdt rigtige personoplysninger om en halv million mennesker, er et spørgsmål, KU endnu ikke har besvaret offentligt. TechSavvy er den eneste kilde til oplysningen om testmiljøet, og KU har ikke ønsket at uddybe.

CPR-nummeret fungerer i Danmark som nøgle til mange tjenester. Sammen med navn, telefonnummer og privat e-mail giver det kriminelle grundlag for målrettet phishing og forsøg på at udgive sig for en anden. Det er en generel risiko ved den type oplysninger, og ingen kilder rapporterer, at de stjålne data er blevet misbrugt.

Læs også: 18.000 hjemmesider på gamle PHP-versioner kan ikke lappes

Kritik af kommunikationen og politisk alvor

Ira Thomas Bro Pold, formand for Studenterrådet på KU, har kritiseret universitetets håndtering. Han savner “noget mere respekt for de studerende og noget mere inddragelse” og ønsker, at de studerende inddrages i undersøgelsen af, hvor meget der er sluppet ud. KU ville ikke kommentere kritikken lørdag.

Forskningsminister Christina Egelund (M) sagde til Ritzau efter mandagens angreb: “Det er anden gang på kort tid.” Minister for samfundssikkerhed og beredskab Lisbeth Bech-Nielsen sagde, at “cybertruslen mod Danmark er alvorlig”. Ledelserne fra de otte universiteter var mandag indkaldt til et møde om sikkerhed.

Hvad der stadig mangler

Der er ingen oplysninger om gerningsmænd, angrebsmetode eller motiv. Det er ikke oplyst, om de tre angreb udnyttede den samme svaghed. Heller ikke antallet af berørte er sikkert: DTU og KU bruger formuleringerne “kan være berørt” og “cirka”, og tallene må ikke lægges sammen, fordi personer kan optræde hos flere universiteter.

Det, der kan følges, er KU’s opgørelse efter mandagens angreb, Datatilsynets behandling af de to anmeldelser og resultatet af mødet mellem de otte universitetsledelser. Først da kan det vurderes, om sektoren får fælles krav, eller om hvert universitet fortsat står med sit eget ansvar for sikkerheden.