コペンハーゲン大学で情報漏えい、50万人超の個人データが流出

デンマークの有力大学へのサイバー攻撃により、50万人を超える個人の機微な個人識別情報（PII）が流出しました。

コペンハーゲン大学（UCPH）が最初にこの事実を公表したのは10月23日です。その後、10月25日に更新情報を追加し、教職員と学生約20,0000人分の施設への物理的な入退室用PINコードも流出したと発表しました。

同大学によると、この情報漏えいの影響を受けたのは合計で約525,000人です。ハッカーがテスト環境にアクセスしたことで発生しました。

大学側の説明では、攻撃は10月20日に検知され、「その後、制御下に置かれた」とのことです。ただ、公表までにはさらに3日を要しました。

当初の通知では、「データベースには、氏名、国民ID番号、勤務先の電話番号、自宅の電話番号、個人のメールアドレスなどの個人識別情報が含まれています」と説明していました。

さらに、「大学は、本件が一般データ保護規則（GDPR）の適用範囲に該当すると見ています。関連規則に従って対応を進めています。本件はデンマークデータ保護庁に報告済みで、その他の関係当局にも密に情報を共有しています」としています。

大学は当初、攻撃者が「日常業務を支える」システムにアクセスした「兆候はなく」、「活動や業務」にも影響はないと説明していました。

しかしその後、文書管理プラットフォームのWorkzoneや、申請予算管理ツールのNimbusなど、複数の管理系システムで障害が発生していることを認めました。

大学は続けて、「これは、対象の管理系システムに対する予防的かつ制御された停止措置です。月曜日の早い時間に、UCPHが新たなハッカー攻撃を受けたためです。 UCPHのウェブサイトにアクセスしにくくなる可能性があります」と説明しています。

10月23日には、侵害されたPINコードをリセットする間、「キャンパス内の一部の重要な場所」への物理的な立ち入りも制限しました。

狙われる大学

高等教育機関は以前から、サイバー犯罪者と国家支援の攻撃者の双方にとって格好の標的です。前者は教職員や学生の換金可能なPIIを狙い、後者は機微な研究成果や知的財産の窃取を狙います。

Comparitechが7月に公表した調査によると、1月から6月にかけての大学に対するランサムウェア攻撃は、その前の6か月間と比べて8%増加しました。主な要因はThe Gentlemenグループの活動です。

大学が狙われやすい理由として、ネットワークが広範で分散しており、比較的開放的であることが挙げられます。加えて、システム停止への許容度が低く、利用者数が多いことも要因です。

4月30日に公表された英国政府の最新の統計によると、ほぼすべての高等教育機関（98%）が、過去12か月間に情報漏えいまたは攻撃を確認しています。

今年、このセクターで最大のインシデントは、ShinyHuntersが多くの大学で使われている学習管理システム「Canvas」を標的にした攻撃でした。8000を超える教育機関から約2億7500万件のレコードが侵害されました。

一方、コペンハーゲン大学の情報漏えいも、被害者数とデータの機微性の点で、今年この種のインシデントとして最悪の部類に入ります。流出したデータは、巧妙な二次的フィッシング攻撃や、なりすまし詐欺の試みに悪用される恐れがあります。

執筆時点で、この情報漏えいについて犯行声明を出した攻撃者はいません。