- コペンハーゲン大学が情報漏えいを公表、52万5,000人超の個人データが流出
- 盗まれた情報には氏名、国民識別番号、連絡先、一部のキャンパス入退室用PINコードが含まれる
- 同大学は被害を封じ込め、規制当局に報告するとともに、フィッシングへの警戒を呼びかけ
デンマークのコペンハーゲン大学は、サイバー攻撃を受け、50万人を超える人々の機微な情報が流出したことを認めました。
同大学がウェブサイトで公表した通知によると、身元不明の攻撃者がテスト環境の1つに侵入し、そこから約52万5,000人分の氏名、国民識別番号（CPR）、電話番号、メールアドレスを抜き取りました。
その後の更新では、新たに職員と学生合わせて2万人のPINコードも流出したとみられることが追記されました。
フィッシングのリスク
大学は対応として、キャンパス内の重要な場所への物理的な立ち入りを制限し、新しい入退室コードを再配布しました。その後、各場所を段階的に再開しています。この間に大学のITチームは攻撃を封じ込めてさらなる侵入を防ぎ、ほかのシステムが侵害されたり、業務に支障が出たりした形跡はないとしています。
この件はデンマークのデータ保護当局に報告されました。一般データ保護規則（GDPR）の管轄に該当するため、大学は今後の対応を検討しています。
大学などの教育機関は、サイバー犯罪者にとって価値の高い情報を保有しています。連絡先に加え、あまり知られていない個人情報も組み合わせれば、攻撃者は個人に合わせて作り込んだフィッシングメールを送れるためです。
こうしたメールでだまされた被害者は、情報窃取型マルウェア（インフォスティーラー）をダウンロードしたり、ランサムウェアが展開されれば壊滅的な被害につながりかねないシステムへのアクセスを許したりする恐れがあります。
たとえば、学生に対して「しばらく使われていないため、メールアドレスが廃止される」と通知する手口が確認されています。学生には短い期限（通常24時間以内）が示され、「本人確認」をしなければメールアドレスや保存済みのすべてのメール、連絡先リスト全体が失われると警告されます。もちろん、こうしたリスクは実在しません。「確認」しようとした被害者は偽のMicrosoft 365ログインページに誘導され、ログインを試みると認証情報がそのまま攻撃者に送られていました。
被害に遭う大学は後を絶たず
データを狙われる大学のリストは長く、増え続けています。2025年11月初めには、ペンシルベニア大学が、ハッカーに侵入されてシステム内のファイルを盗まれたことを認めました。
攻撃者は従業員をだましてPennKeyのシングルサインオン（SSO）アカウントを共有させ、大学のVPN、Salesforceのデータ、Qlik分析プラットフォーム、SAPのビジネスインテリジェンスシステム、SharePointのファイルにアクセスしました。このアクセスを使い、学生、卒業生、寄付者約120万人分の情報を盗みました。盗まれたのは氏名、生年月日、住所、電話番号、推定純資産、寄付履歴、人口統計情報などです。
わずか2週間後には、プリンストン大学も同様の被害に遭いました。同大学は人数を明らかにしないまま関係者に送ったデータ漏えいの通知書で、攻撃者がアイビーリーグの同大学の「アドバンスメント（大学支援）」データベースにアクセスし、卒業生、寄付者、一部の教職員、学生、保護者、その他の関係者の情報にアクセスできたと説明しています。
侵害されたデータベースには、氏名、メールアドレス、電話番号、自宅や勤務先の住所といった個人を特定できる情報が含まれていました。大学への資金調達活動や寄付に関する情報も保存されていました。
さらにさかのぼる2025年半ばには、悪名高い攻撃グループShinyHuntersが学習管理システムのCanvasに侵入し、ハーバード大学、オックスフォード大学、MITなど世界トップクラスの大学のデータを盗み出しました。スタンフォード、プリンストン、コロンビア、ケンブリッジ、コーネル、バークレー、ジョージタウンの各大学も、同時に侵害されたとされています。攻撃者はその後、米国、オーストラリア、英国、スウェーデンなど10か国の8,800を超える教育機関を攻撃したと主張しました。
コペンハーゲン大学は現在、学生、職員、関係者に対し、受信メールに注意するよう呼びかけています。
