Копенгагенский университет сообщил об утечке, затронувшей около 525 000 человек. Атакующие получили доступ к тестовой среде, в которой оказались реальные персональные данные.
Что утекло
- Имена, номера CPR (датский аналог персонального идентификационного номера), телефоны и адреса электронной почты.
- PIN-коды доступа примерно 20 000 сотрудников и студентов. Пока выдаются новые коды, доступ к некоторым критичным объектам кампуса ограничен.
Инцидент обнаружили во вторник, раскрыли в пятницу, уведомили датское агентство по защите данных. Университет заявляет, что доступ атакующих заблокирован, а ежедневная работа не пострадала. Кто стоит за атакой, не сообщается.
Урок для разработчиков
Классическая ошибка: тестовые и staging-окружения с копией боевых данных защищены хуже продакшена. Для тестов стоит использовать синтетические или обезличенные данные, а если без реальных не обойтись — применять к такой среде те же требования, что и к проду: сегментацию, MFA, мониторинг и сроки хранения.
The University of Copenhagen reported a breach affecting about 525,000 people. Attackers gained access to a test environment that contained real personal data.
What leaked
- Names, CPR numbers (the Danish personal ID number), phone numbers and email addresses.
- Access PIN codes for about 20,000 staff and students. While new codes are issued, access to some critical campus sites is restricted.
The incident was detected on a Tuesday, disclosed on the Friday and reported to the Danish Data Protection Agency. The university says the attackers’ access has been blocked and day-to-day operations were not affected. No attacker has been named.
Lesson for developers
A classic mistake: test and staging environments holding a copy of production data are protected less well than production. Use synthetic or anonymised data for testing, and if real data is unavoidable, hold that environment to production standards: segmentation, MFA, monitoring and retention limits.