Orientering om bruddet på persondatasikkerheden

Ved det nylige cyberangreb på Københavns Universitet formåede angriberen at hente personoplysninger om et stort antal nuværende og tidligere tilknyttede personer. Her kan du læse om de omfattede oplysninger og de forholdsregler, som de berørte bør tage – og se hvem du skal kontakte med spørgsmål.

Angrebet blev opdaget af KU IT den 20. oktober 2026, da medarbejdere konstaterede mistænkelig aktivitet i et IT-system. Efterfølgende undersøgelser har afdækket, at angriberen har haft adgang til en database, som indeholder personoplysninger.

Hvilke oplysninger er omfattet?

De kompromitterede oplysninger varierer fra person til person, men kan blandt andet omfatte navn, kontaktoplysninger, KU-brugernavn, KU-mailadresse, statsborgerskab, nationalitet, køn og oplysninger om tilknytning til universitetet. Derudover omfatter bruddet krypterede CPR-numre samt pinkoder til KU-adgangskort. Universitetet vurderer, at der er en betydelig risiko for, at de krypterede CPR-numre kan dekrypteres, fordi oplysninger til dekryptering også er blevet kompromitteret.

Private fysiske adresser indgår ikke i det kompromitterede datasæt. Det gælder også, hvis man har delt følsomme persondata – f.eks. sundhedsoplysninger – med KU.

Ingen klarhed om motivet

Det er endnu ikke kendt, hvem der står bag angrebet, eller hvad formålet med det er. Københavns Universitet arbejder fortsat på at klarlægge hændelsesforløbet og omfanget af de kompromitterede data.

Som led i håndteringen af sagen har universitetet lukket adgangen til de berørte systemer og iværksat en omfattende teknisk undersøgelse. Sagen er samtidig anmeldt til både Politiet og Datatilsynet.

Risiko for phishing og identitetstyveri

Universitetet vurderer, at de stjålne oplysninger kan anvendes til mere målrettede phishingforsøg, svindelhenvendelser og forsøg på identitetstyveri. Derfor opfordres berørte personer til at være særligt opmærksomme på uventede opkald, sms'er og e-mails, hvor afsenderen forsøger at få udleveret adgangskoder, MitID-oplysninger eller andre fortrolige oplysninger.

Personer, der har genbrugt pinkoden til deres KU-adgangskort andre steder, anbefales desuden at ændre disse koder hurtigst muligt.

Berørte personer orienteres direkte i muligt omfang

Københavns Universitet er i gang med at orientere de personer, som vurderes at være berørt af bruddet. En stor del af de berørte, hvor deres CPR-nummer har været en del af lækket – blev orienteret via Digital Post den 27. oktober. Dem som vi har e-mail oplysningerne på, vil i løbet af i dag den 28.oktober modtage en direkte e-mail om bruddet. Den del, som KU ikke har tilstrækkelig kontaktinformation på, kan se brevet her. 

Hvis du er blandt de berørte og har spørgsmål, kan du skrive til GDPRbreach@ku.dk.

Universitetet offentliggør løbende nye oplysninger om sagen på www.ku.dk