Le Danemark enchaîne les fuites de données universitaires. L’université de Copenhague a annoncé le 23 octobre 2026 que des pirates avaient pénétré l’un de ses environnements de test, exposant les données d’environ 525 000 personnes, dont leurs numéros d’identité nationaux, ainsi que les codes PIN des badges d’environ 20 000 salariés et étudiants. Trois semaines plus tôt, l’Université technique du Danemark (DTU) révélait une intrusion susceptible de toucher jusqu’à 200 000 personnes.
Ce que l’université de Copenhague a reconnu
D’après Infosecurity Magazine, l’attaque a été détectée le 20 octobre, puis maîtrisée, avant d’être rendue publique trois jours plus tard ; un point actualisé a suivi le 25 octobre. La base concernée contenait des noms complets, des numéros d’identité nationaux, des numéros de téléphone professionnels et personnels ainsi que des adresses électroniques privées. S’y ajoutent les codes PIN qui ouvrent les accès physiques du campus pour quelque 20 000 membres du personnel et étudiants.
L’établissement a restreint l’accès physique à certains lieux du campus jugés critiques, le temps de réinitialiser les codes compromis. Il a signalé l’incident à l’autorité danoise de protection des données, au titre du RGPD. Selon ITdaily, les cours n’ont pas été perturbés et les principaux systèmes opérationnels sont restés intacts. La situation s’est pourtant tendue ensuite : après une nouvelle attaque survenue le lundi 26 octobre, l’université a procédé à un arrêt préventif et contrôlé de plusieurs systèmes administratifs, dont l’outil de gestion documentaire Workzone et l’outil budgétaire Nimbus, rapporte Infosecurity Magazine. Aucun groupe n’avait revendiqué l’attaque au 27 octobre.
Pourquoi un environnement de test pose problème
Le point le plus troublant tient au lieu de l’intrusion. Un environnement de test sert à essayer des logiciels ou des mises à jour avant leur mise en service. Celui de l’université renfermait pourtant des informations sur des centaines de milliers de personnes bien réelles. Dans les articles consultés, l’établissement n’explique ni pourquoi ces données s’y trouvaient, ni si elles avaient été pseudonymisées.
La question renvoie au principe de minimisation inscrit à l’article 5 du RGPD, dont la CNIL publie le texte : les données traitées doivent être adéquates, pertinentes et limitées à ce que requiert la finalité poursuivie. Reste à savoir si des données fictives ou anonymisées auraient permis de mener les mêmes essais ; l’université ne s’est pas exprimée sur ce point dans les articles consultés. Toute organisation qui garde des copies de production hors de la production, qu’il s’agisse d’une université, d’une collectivité ou d’une PME, a intérêt à savoir où elles se trouvent et qui peut y accéder.
DTU, le précédent de début octobre
Le 3 octobre, BleepingComputer rapportait que DTU avait subi une intrusion dans DTUBasen, son système de gestion des identités et des accès. L’attaquant s’y était connecté grâce à des identifiants compromis, puis avait téléchargé un important volume de données. Ce système conserve plus de vingt ans d’historique : près de 40 000 utilisateurs actifs et environ 160 000 anciens, soit toute personne passée par l’établissement depuis 2003 comme salarié, étudiant, invité ou partenaire. Numéros CPR, l’identifiant civil danois, noms, adresses, photos de profil, fonctions et coordonnées de proches figurent parmi les données en jeu.
Le directeur de l’université, Bjarke Bak Christensen, a qualifié l’événement d’« attaque grave » contre DTU, qui a admis ne pas pouvoir dire précisément ce qui avait été emporté. Rien, dans les sources consultées, ne relie les deux incidents, dont les circonstances connues diffèrent : des identifiants volés chez DTU, un environnement de test à Copenhague.
Les universités, des cibles de premier choix
Ces deux affaires s’inscrivent dans une série plus large. ITdaily rappelle une attaque contre une université italienne plus tôt en 2026 et des incidents visant la VUB et d’autres établissements flamands. Infosecurity Magazine cite de son côté l’offensive du groupe ShinyHunters contre la plateforme Canvas, avec environ 275 millions d’enregistrements dérobés dans plus de 8 000 établissements, et fait état, d’après une étude de Comparitech, d’une hausse des attaques par rançongiciel contre les universités.
Les fichiers en jeu remontent aussi loin dans le temps : DTU gardait la trace de toute personne passée par ses murs depuis 2003, invités et partenaires compris. Le danger le plus immédiat n’a rien de spectaculaire. Avec un nom, un numéro d’identité et une adresse électronique, un escroc peut écrire un message de hameçonnage très crédible ou tenter une usurpation d’identité, un risque souligné par DTU, par ITdaily et par Infosecurity Magazine.
Questions fréquentes
Qui est concerné par la fuite de l’université de Copenhague ?
Environ 525 000 personnes, selon l’université, dont le profil n’est pas détaillé dans les articles consultés. Les codes PIN de badges, eux, concernent environ 20 000 salariés et étudiants. L’établissement poursuit son enquête sur l’étendue exacte de la fuite.
Les attaques contre DTU et l’université de Copenhague sont-elles liées ?
Aucune source consultée n’établit de lien. Personne n’avait revendiqué l’attaque de Copenhague au 27 octobre, et l’article de BleepingComputer consacré à DTU ne nomme aucun auteur.
Que faire si l’on a étudié ou travaillé dans l’un de ces établissements ?
DTU conseille de se méfier des messages qui semblent connaître votre lien avec l’université, de ne jamais transmettre de mot de passe en réponse, de changer les mots de passe réutilisés ailleurs et de poser une alerte de crédit sur son numéro CPR. Ces précautions valent aussi pour les personnes touchées à Copenhague.
Sources
- Copenhagen University Breach Compromises Data on Half a Million People — Infosecurity Magazine, 2026-10-27
- University of Copenhagen confirms data breach affecting 525,000 people — ITdaily, 2026-10-27
- Danish university DTU breach exposes data of up to 200,000 people — BleepingComputer, 2026-10-03
- RGPD, chapitre 2 : principes (article 5) — CNIL, 2016-04-27