Une faille à l’Université de Copenhague touche 525 000 personnes et expose les codes PIN d’accès de 20 000 d’entre elles

Une cyberattaque contre l’Université de Copenhague a exposé les informations personnelles d’environ 525 000 personnes, notamment des numéros d’identification nationaux danois chiffrés que l’université avertit pouvoir potentiellement être déchiffrés.

L’université a confirmé la faille le 23 octobre, précisant que les attaquants avaient accédé à un environnement de test contenant des données personnelles. Les responsables ont ensuite révélé que les codes PIN des cartes d’accès d’environ 20 000 étudiants et employés avaient également été compromis, ce qui a conduit l’université à remplacer ces codes et à restreindre temporairement l’accès aux installations critiques.

Pour les étudiants, employés et anciens membres de l’université concernés, cette faille soulève des inquiétudes concernant l’usurpation d’identité et l’hameçonnage ciblé. Pour les équipes de sécurité, elle met en évidence les risques liés au stockage d’informations sensibles dans des environnements hors production.

Les pirates ont accédé aux données personnelles de 525 000 personnes

Le personnel informatique de l’université a détecté une activité suspecte le 20 octobre, puis déterminé que les attaquants avaient accédé à un environnement de test contenant des informations personnelles.

Dans sa première communication, l’université a indiqué que la base de données compromise contenait des informations associées à environ 525 000 personnes.

Selon la notification officielle de la faille, les informations exposées varient selon les personnes, mais peuvent inclure :

• Noms et coordonnées : Informations personnelles permettant d’identifier les personnes et coordonnées.
• Informations de compte universitaire : Noms d’utilisateur et adresses e-mail universitaires. La liste publiée par l’université des données compromises ne mentionne pas les mots de passe des comptes.
• Numéros d’identification nationaux : Numéros CPR danois chiffrés.
• Informations personnelles : Citoyenneté, nationalité et sexe.
• Liens avec l’université : Informations sur les relations des personnes avec l’établissement.
• Codes PIN des cartes d’accès : Codes utilisés pour accéder physiquement aux installations de l’université.

L’université a explicitement confirmé que les adresses privées des domiciles ne figuraient pas dans l’ensemble de données compromis. Elle a également indiqué que les informations personnelles sensibles qui lui avaient été communiquées, notamment les données de santé, ne faisaient pas partie des dossiers exposés.

Une découverte particulièrement préoccupante concerne les numéros CPR chiffrés, utilisés pour identifier les personnes au Danemark. Bien que ces identifiants aient été chiffrés, l’université a averti que les informations nécessaires à leur déchiffrement avaient également été compromises. Elle estime donc qu’il existe un risque important que ces numéros puissent être récupérés.

L’université n’a pas confirmé que les attaquants avaient réussi à déchiffrer ces identifiants.

L’université confirme que des dossiers plus anciens ont également été exposés

Dans une mise à jour du 28 octobre, l’université a corrigé une déclaration précédente concernant l’ancienneté des dossiers compromis.

Les responsables avaient initialement informé les personnes concernées que les informations exposées remontaient à 2002.

Une enquête plus approfondie a révélé que certains dossiers compromis étaient antérieurs à 2002.

L’université a souligné que cette correction n’augmentait pas le nombre de personnes concernées. Elle modifiait uniquement la période historique connue des informations exposées.

Cette découverte signifie que l’ensemble de données concerné remonte plus loin dans le passé de l’université que ce qui avait été indiqué initialement.

L’université remplace les codes PIN de 20 000 personnes

Les conséquences de l’attaque ne se sont pas limitées à l’exposition d’informations personnelles.

Dans une mise à jour de sécurité du 25 octobre, l’université a révélé que les codes PIN des cartes d’accès d’environ 20 000 employés et étudiants avaient été compromis.

Les personnes concernées ont reçu de nouveaux codes PIN. Par mesure de précaution, l’université a temporairement restreint l’accès physique à certains sites critiques du campus le 23 octobre. Ces sites ont ensuite rouvert après la distribution des nouveaux codes PIN.

L’université a précisé que les codes PIN compromis faisaient partie de l’attaque initiale révélée le 23 octobre, et non d’une faille distincte.

Cette affaire montre comment des informations compromises peuvent affecter la sécurité physique lorsque des systèmes numériques stockent des identifiants utilisés pour contrôler l’accès aux bâtiments.

Pourquoi les codes PIN d’accès compromis sont importants

Les codes PIN des cartes d’accès peuvent fournir une couche de protection supplémentaire pour les bâtiments, laboratoires, bureaux et autres installations à accès restreint.

Si un attaquant obtient un code PIN valide ainsi que les autres identifiants ou l’accès physique nécessaires pour l’utiliser, ce code pourrait potentiellement faciliter une entrée non autorisée. Toutefois, l’Université de Copenhague n’a pas indiqué que les codes PIN volés avaient été utilisés pour obtenir un accès physique non autorisé.

Le remplacement des codes réduit le risque lié à leur exposition. Pour les organisations qui gèrent des systèmes de contrôle d’accès physique, cet incident souligne l’importance de révoquer rapidement les identifiants compromis et de surveiller les tentatives d’entrée suspectes.

L’université écarte l’hypothèse d’une seconde attaque alors que les systèmes rouvrent

La faille a également entraîné l’arrêt préventif de systèmes universitaires.

Le 26 octobre, les responsables ont d’abord signalé ce qui semblait être une autre cyberattaque et restreint l’accès à plusieurs systèmes administratifs. Toutefois, dans une mise à jour du 27 octobre, l’université a précisé que l’activité suspecte était liée à l’incident initial et ne constituait pas une attaque distincte.

Bien que plusieurs services administratifs aient subi des perturbations, l’université a indiqué que les systèmes mis hors ligne n’avaient pas été compromis et avaient été arrêtés par précaution pendant l’examen de leur sécurité.

Selon les mises à jour opérationnelles, le personnel informatique a commencé à effectuer des évaluations de sécurité individuelles avant de rétablir progressivement l’accès externe. L’université a identifié Absalon, sa plateforme d’apprentissage, ainsi que d’autres systèmes essentiels comme prioritaires pour le rétablissement.

Plusieurs systèmes universitaires sont restés soumis à des restrictions pendant la reprise. L’université a indiqué que la plupart des étudiants pouvaient accéder aux services concernés via Eduroam sur le campus, tandis que les employés pouvaient utiliser un VPN pour accéder aux services au fur et à mesure de leur rétablissement.

L’accès Eduroam à certains services était indisponible au Niels Bohr Building, dans le nouveau bâtiment du Natural History Museum et à Metropol. L’université a orienté les utilisateurs de ces sites vers des connexions filaires, les employés pouvant utiliser un VPN.

Les responsables ont averti que d’autres interruptions de service pourraient survenir pendant la reprise. Ces nuances sont importantes, car un arrêt préventif ne signifie pas nécessairement que les attaquants ont accédé à d’autres systèmes ou données.

Pourquoi les informations volées accroissent les risques d’hameçonnage et d’usurpation d’identité

L’Université de Copenhague a averti que les informations compromises pourraient être utilisées pour des campagnes d’hameçonnage ciblées, des communications frauduleuses et des tentatives d’usurpation d’identité.

La situation est particulièrement préoccupante lorsque les attaquants détiennent plusieurs informations concernant une même personne.

Un criminel qui connaît le nom d’une personne, son lien avec l’université, son adresse e-mail et d’autres informations permettant de l’identifier pourrait être en mesure de créer des messages semblant provenir d’un établissement de confiance. Par exemple, un attaquant pourrait se faire passer pour le support informatique de l’université et affirmer qu’un compte doit être vérifié d’urgence à la suite de la faille.

Une autre tactique possible consisterait à envoyer des communications frauduleuses demandant des informations Danish MitID ou d’autres identifiants confidentiels. Il s’agit de scénarios d’attaque potentiels, et non d’exemples confirmés d’attaques menées à l’aide des dossiers volés.

Les recommandations de l’université avertissent les personnes concernées des risques d’hameçonnage et d’usurpation d’identité. Toutefois, l’exposition d’informations personnelles ne signifie pas automatiquement que des criminels peuvent les utiliser pour accéder à des comptes financiers ou gouvernementaux protégés.

Cet incident montre pourquoi les informations sensibles permettant d’identifier une personne doivent être protégées, même lorsqu’il ne s’agit ni d’un mot de passe ni d’un numéro de carte bancaire.

Comme l’a rapporté eSecurity Planet dans son article sur les poursuites liées à la faille d’IDScan, l’exposition d’informations personnelles d’identification peut créer des problèmes durables de sécurité et de confidentialité.

Ce que les informations exposées pourraient signifier pour les victimes

L’université n’a pas identifié publiquement les attaquants ni établi leur motivation.

Elle n’a pas non plus confirmé que les informations volées avaient été utilisées lors d’attaques ultérieures.

L’université informe les personnes concernées, mais certaines ne peuvent pas être contactées

L’Université de Copenhague a commencé à informer les personnes dont les informations ont été exposées lors de la faille.

Selon sa notification officielle, une grande partie des personnes concernées dont les numéros CPR figuraient dans les données compromises ont été informées via le système Digital Post du Danemark le 27 octobre. L’université a également indiqué qu’elle enverrait un e-mail le 28 octobre aux personnes concernées dont elle possédait les coordonnées.

Toutefois, l’université a reconnu qu’elle ne pouvait pas contacter directement tout le monde. Dans certains cas, les dossiers compromis ne contenaient que le nom d’une personne, laissant l’établissement sans informations suffisantes pour lui envoyer une notification individuelle.

Pour remédier à cette limitation, l’université a rendu sa lettre de notification de la faille accessible au public. Les personnes qui ont étudié ou travaillé dans l’établissement ne doivent donc pas supposer qu’elles ne sont pas concernées simplement parce qu’elles n’ont pas reçu de message.

Toute personne préoccupée par ses informations devrait consulter la page officielle de l’université consacrée à la faille et suivre ses recommandations.

Ce que les étudiants, employés et anciens membres du personnel concernés doivent faire

L’université a exhorté les personnes concernées à rester vigilantes face aux communications suspectes et aux tentatives d’obtenir des informations confidentielles.

Bien que l’université n’ait pas signalé d’utilisation abusive avérée des dossiers volés, les informations exposées pourraient rendre de futures tentatives d’usurpation plus convaincantes.

Les personnes concernées peuvent prendre plusieurs mesures pour réduire les risques.

1. Soyez attentif aux messages d’hameçonnage usurpant l’identité de l’université

Méfiez-vous des e-mails, appels téléphoniques ou SMS inattendus prétendant provenir du personnel informatique, des administrateurs de l’université ou d’autres organisations de confiance.

Les signes avant-coureurs peuvent inclure des demandes visant à :

• Confirmer un mot de passe universitaire ou des identifiants de compte.
• Fournir des informations MitID ou des codes d’authentification.
• Ouvrir un lien inconnu pour consulter une notification de faille.
• Télécharger un logiciel censé sécuriser un compte.
• Communiquer des informations personnelles supplémentaires pour vérifier une identité.

Que faire : Contactez l’université via son site officiel ou ses canaux d’assistance habituels, plutôt qu’en utilisant les coordonnées fournies dans un message suspect.

2. Modifiez les codes PIN de cartes d’accès réutilisés

L’université a déjà remplacé les codes PIN compromis des cartes d’accès au campus appartenant à environ 20 000 personnes.

Toutefois, les personnes qui ont réutilisé le même code PIN pour un autre système peuvent toujours être exposées.

Que faire : Modifiez ce code PIN partout où vous l’utilisez, notamment sur d’autres systèmes de contrôle d’accès ou services qui acceptent le même code numérique.

Évitez d’utiliser des codes faciles à deviner ou de partager vos identifiants d’accès avec d’autres personnes.

3. Protégez vos comptes universitaires et personnels

La description publiée par l’université des informations compromises ne mentionne pas les mots de passe des comptes parmi les données exposées.

Néanmoins, les données volées pourraient être utilisées pour rendre crédibles de fausses demandes de vérification de compte.

Que faire :

• Utilisez des mots de passe uniques pour vos comptes universitaires et personnels.
• Activez l’authentification multifacteur lorsqu’elle est disponible.
• N’approuvez jamais une demande d’authentification inattendue.
• Signalez les notifications de connexion suspectes à l’équipe informatique compétente.
• Évitez de saisir vos identifiants via des liens contenus dans des messages non sollicités.

Les équipes de sécurité devraient également examiner les procédures de récupération de compte afin de s’assurer que les informations personnelles exposées ne puissent pas être utilisées comme preuve d’identité suffisante.

4. Soyez prudent face aux demandes concernant les numéros CPR

L’université ayant averti que les numéros CPR compromis pourraient être déchiffrables, les personnes concernées devraient être particulièrement prudentes face aux demandes concernant leurs informations d’identité nationale.

Il ne faut pas automatiquement considérer comme digne de confiance un appelant ou l’expéditeur d’un message qui connaît déjà un numéro CPR.

Que faire : Vérifiez les demandes sensibles via des canaux de contact établis indépendamment et suivez les recommandations de protection de l’identité fournies par l’université ou les autorités danoises compétentes.

5. Suivez les notifications et mises à jour officielles

L’université poursuit son enquête sur l’incident et cherche à en déterminer toute l’étendue.

Les personnes concernées peuvent avoir vu différentes catégories d’informations exposées, et le risque exact variera donc selon les cas.

Que faire : Consultez attentivement toute notification officielle, conservez-la pour référence et surveillez la page de l’université consacrée aux informations sur la faille pour connaître les prochaines consignes.

Les personnes qui n’ont pas reçu de notification, mais qui pensent pouvoir être concernées, peuvent consulter l’avis de faille accessible au public.

Les questions concernant l’incident peuvent être adressées à l’université à l’adresse GDPRbreach@ku.dk.

Ce que la faille signifie pour les équipes de sécurité des universités et des entreprises

L’incident de l’Université de Copenhague soulève une question plus générale pour les organisations : quelle quantité d’informations sensibles est stockée dans les environnements de test, et ces environnements sont-ils protégés avec la même rigueur que les systèmes de production ?

Les systèmes de test servent souvent à évaluer les modifications logicielles, les intégrations et les nouveaux services avant leur déploiement.

Toutefois, lorsque ces systèmes contiennent de véritables informations personnelles, une compromission peut exposer les mêmes données sensibles que les organisations sont censées protéger dans leurs environnements de production.

L’incident de Copenhague montre que les conséquences peuvent dépasser les enjeux de confidentialité et toucher les contrôles d’accès physiques ainsi que la continuité des opérations.

Les équipes de sécurité devraient envisager plusieurs mesures de protection :

• Examiner les bases de données de test : Identifier les environnements hors production contenant de véritables informations personnelles, des identifiants nationaux ou des identifiants d’accès.
• Limiter les données sensibles : Utiliser, lorsque cela est possible, des données synthétiques ou correctement anonymisées pour les tests.
• Protéger les clés de chiffrement : Veiller à séparer correctement les données chiffrées des informations nécessaires à leur déchiffrement et à contrôler les accès à ces éléments.
• Restreindre les accès : Limiter les autorisations dans les environnements de test au personnel et aux services autorisés.
• Surveiller les activités inhabituelles : Mettre en place une journalisation, des alertes et une surveillance des accès pertinentes pour les systèmes hors production.
• Préparer les procédures de remplacement des identifiants : Établir des processus permettant de révoquer rapidement les identifiants numériques et les codes d’accès physiques compromis.
• Examiner les communications liées à l’incident : Veiller à ce que les employés et les autres personnes concernées reçoivent rapidement des consignes précises.

Ces contrôles sont particulièrement importants pour les universités, les établissements de santé, les institutions financières et les autres organismes qui conservent de grandes quantités d’informations personnelles.

eSecurity Planet a déjà couvert les compromissions de serveurs Zimbra, illustrant l’importance d’identifier les infrastructures exposées et de remédier aux vulnérabilités connues.

Par ailleurs, son article sur la refonte de la sécurité des tests d’Anthropic souligne l’importance de l’isolation et des contrôles d’accès dans les environnements de test.

Que va-t-il se passer maintenant ?

L’Université de Copenhague a signalé la faille aux autorités danoises, notamment à la police et à l’Agence danoise de protection des données, et poursuit son enquête technique. Elle rétablit également progressivement les services concernés par les mises à l’arrêt préventives. L’université n’a pas identifié publiquement les attaquants ni établi toute l’étendue des conséquences liées aux informations volées.

Pour les personnes concernées, la priorité est de rester vigilantes face aux communications suspectes, de protéger leurs comptes et de suivre les recommandations officielles concernant les informations d’identité compromises.

Pour les équipes de sécurité, la leçon dépasse le cadre des systèmes universitaires : un environnement de test contenant de véritables données personnelles peut présenter des risques de sécurité importants, même lorsque les enquêteurs n’ont trouvé aucune indication que les attaquants aient accédé aux systèmes opérationnels.

Les organisations doivent protéger les informations sensibles où qu’elles soient stockées, notamment dans les environnements de développement, de test et de production.

À lire également : découvrez une autre attaque majeure contre une université, l’attaque visant University of Phoenix ayant exposé les informations personnelles de plus de 3,5 millions de personnes, soulevant des inquiétudes concernant l’usurpation d’identité et la sécurité des données dans l’enseignement supérieur.