Une fuite à l'Université de Copenhague expose les données personnelles d'environ 525 000 personnes

Le 23 octobre 2026, l'Université de Copenhague (Københavns Universitet) — la plus ancienne et la plus grande université du Danemark — a révélé avoir subi une cyberattaque au cours de laquelle des intrus s'étaient introduits dans l'un de ses environnements de test. L'université a indiqué que les attaquants avaient obtenu les données personnelles d'environ 525 000 individus, dont des noms, des numéros d'identité nationaux, des numéros de téléphone professionnels et personnels ainsi que des adresses de courriel personnelles. L'intrusion avait été détectée et maîtrisée le 20 octobre, et l'université a restreint l'accès à certains sites du campus le soir où elle a rendu l'affaire publique.

Dans une mise à jour du 25 octobre, l'université a indiqué que l'attaque avait également compromis les codes PIN des cartes d'identité d'environ 20 000 membres du personnel et étudiants. De nouveaux codes ont été émis et les sites concernés ont rouvert. L'université a signalé l'incident à l'Autorité danoise de protection des données, estimant que la fuite relevait du RGPD, et a précisé tenir informées les autres autorités compétentes tout en travaillant à établir l'étendue exacte de l'exposition.

Un arrêt contrôlé, et non une seconde attaque

Le 26 octobre, l'université a mis hors ligne plusieurs systèmes administratifs — dont ses plateformes Workzone et Nimbus — et a d'abord affirmé avoir été frappée par une nouvelle attaque. Le lendemain, elle a révisé cette évaluation, écartant une seconde intrusion et rattachant cette activité à la fuite initiale. Elle a décrit la coupure comme un « arrêt préventif et contrôlé » qui demeurait nécessaire malgré l'évaluation révisée. L'université a précisé que rien n'indiquait que les attaquants aient atteint les systèmes soutenant ses activités quotidiennes, ni que ces dernières aient été affectées, même si certains systèmes continuaient de connaître des perturbations.

Pourquoi c'est important

Les universités détiennent de grands volumes de données personnelles sensibles sur les étudiants, le personnel et les candidats, ce qui en fait des cibles attrayantes pour le vol de données et l'extorsion. Aucun auteur de la menace n'a été nommé et aucune demande de rançon n'a été signalée, l'université indiquant analyser encore l'ampleur totale de la fuite. L'accès ayant été bloqué et le personnel s'employant à prévenir d'autres attaques ou des attaques similaires, le statut de l'incident est maîtrisé, alors même que l'enquête se poursuit.