Piratée, l'université de Copenhague stockait 525 000 identités réelles dans une base de test

Le vendredi 23 octobre au soir, l'université de Copenhague ferme l'accès à plusieurs de ses locaux jugés critiques. Le même soir, elle annonce une cyberattaque. Des pirates ont pénétré dans l'un de ses environnements de test, c'est-à-dire un système destiné aux essais plutôt qu'au fonctionnement quotidien. Il contenait des informations sur environ 525 000 personnes.

Selon l'université, l'intrusion a été détectée le mardi précédent, 20 octobre, puis maîtrisée. Les données concernées comprennent les noms complets, les numéros CPR (le numéro d'identification national danois), les numéros de téléphone professionnels et personnels et les adresses e-mail privées. L'incident a été déclaré à Datatilsynet, l'autorité danoise de protection des données. Puis, le 26 octobre, une nouvelle attaque a conduit l'établissement à couper par précaution plusieurs systèmes administratifs.

Pourquoi 525 000 personnes ?

Le chiffre intrigue. Selon BleepingComputer, l'université compte environ 36 800 étudiants et 10 700 salariés. Les personnes touchées dépassent donc largement sa population actuelle. L'établissement n'a pas précisé à quels groupes elles appartiennent et dit toujours analyser l'étendue exacte de la fuite. Selon lui, rien n'indique que les pirates aient atteint les systèmes du fonctionnement quotidien. Aucune revendication n'a été rapportée à ce stade : l'auteur de l'attaque reste inconnu.

Des codes d'accès aux bâtiments changés en urgence

La fermeture des locaux s'explique le 25 octobre. L'université révèle alors que les codes PIN d'environ 20 000 cartes d'accès de salariés et d'étudiants ont aussi été compromis. Elle précise qu'il ne s'agit pas d'une nouvelle fuite : elle a attendu que ces codes soient changés avant de l'annoncer. Les locaux ont rouvert une fois les nouveaux codes distribués.

Une deuxième attaque en une semaine

Le 26 octobre à 17 h 50, l'université publie un nouvel avis. Elle a été visée dans la journée par une autre attaque et a coupé « de façon préventive et contrôlée » plusieurs systèmes administratifs, dont Workzone. Ses sites web peuvent aussi être difficiles d'accès. Elle ne dit pas si les deux attaques sont liées.

« C'est la deuxième fois en peu de temps », a réagi auprès de l'agence Ritzau la ministre de la Recherche, de l'Éducation et du Numérique, Christina Egelund, qui dit prendre la situation très au sérieux, selon TV2 Kosmopol. L'université technique DTU et l'université d'Aarhus ont elles aussi été visées ces dernières semaines. À Aarhus, un pirate a tenté de modifier les mots de passe d'environ 1 700 utilisateurs, sans succès car l'intrusion a été repérée, rapporte DR.

Les bons réflexes

Aucune faille spectaculaire n'a été annoncée. Ce que l'on sait : les pirates ont accédé à un environnement de test qui contenait des données bien réelles. Pour les personnes concernées, le risque principal est l'hameçonnage : avec un nom, un téléphone et un numéro d'identité, un escroc peut se faire passer de façon crédible pour l'université, une banque ou une administration. BleepingComputer recommande aux personnes concernées de se méfier des messages non sollicités et de vérifier toute demande par un autre canal.

Pour les organisations, la leçon dépasse le Danemark. Une base de test devrait contenir des données fictives ou anonymisées. Si ce n'est pas possible, elle doit être protégée et surveillée comme la production. Les établissements de recherche sont des cibles régulières, en France aussi : l'Ined, l'institut public de la démographie, a dû couper tout son réseau après une intrusion ce mois-ci. À Copenhague, reste à savoir à qui appartiennent ces 525 000 fiches, et si la seconde attaque a permis d'en emporter davantage.