Vazamento de dados em ambiente de testes atinge 525 mil pessoas e códigos de acesso físico na Dinamarca
Nomes, números de identidade nacional, telefones e e-mails de 525 mil pessoas estavam num ambiente de testes da Universidade de Copenhague, invadido por hackers. O ataque foi detectado em 20 de outubro e divulgado no dia 23. Depois, a universidade incluiu outras 20 mil pessoas, com códigos de acesso físico expostos.
A universidade detectou a invasão na terça-feira, 20 de outubro, e tornou o caso público na sexta-feira, 23. Em uma atualização no domingo, 25, acrescentou mais 20 mil alunos e funcionários cujos códigos PIN foram expostos.
Em comunicado oficial, a Universidade de Copenhague confirmou o ataque e informou que os invasores obtiveram acesso a um dos seus ambientes de testes. O detalhe é o centro da história. Ambientes de teste costumam receber menos atenção de segurança do que os sistemas de produção, mas neste caso guardavam dados pessoais reais em grande escala.
O que foi exposto
A investigação ainda não terminou, mas a universidade alerta que podem ter sido expostos nomes completos, números de identidade nacional (CPR), telefones e e-mails. (Bleeping Computer)
O número CPR é o identificador pessoal único dos dinamarqueses, usado em praticamente todos os serviços públicos e privados, algo parecido com o papel do CPF no Brasil.
Os dados expostos aumentam o risco de phishing e de ataques de engenharia social. Com o nome, o telefone e o número de identidade em mãos, um golpista consegue se passar por banco, órgão público ou pela própria universidade com muito mais credibilidade.
Quando o vazamento digital vira risco físico
A exposição dos códigos PIN dá ao caso uma dimensão rara. Por precaução, a universidade restringiu o acesso físico a alguns locais críticos do campus e vem reabrindo esses espaços aos poucos, à medida que distribui novos códigos.
O episódio mostra que identidade digital e controle de acesso físico estão cada vez mais ligados. Quando credenciais de acesso a prédios e laboratórios ficam guardadas nos mesmos ambientes que os cadastros, um vazamento de dados vira também um problema de segurança patrimonial.
Contenção e notificação
A universidade afirma ter contido o ataque e bloqueado o acesso do invasor, e diz não haver indícios de que os sistemas da operação diária tenham sido atingidos. O incidente foi comunicado à autoridade dinamarquesa de proteção de dados, e a instituição reconhece que o caso está sob o Regulamento Geral de Proteção de Dados (GDPR) europeu.
Segundo golpe no país em menos de um mês
O vazamento acontece num momento delicado para a Dinamarca. No início de outubro, o Registro Central de Pessoas (CPR) do país alertou para um vazamento que expôs dados de cerca de 8,8 milhões de pessoas, incluindo residentes, emigrados e falecidos. Segundo o registro, os criminosos abusaram do acesso legítimo de uma empresa privada dinamarquesa ao sistema para obter nomes, endereços e números CPR.
Os dois casos têm algo em comum: o elo fraco não estava no sistema principal, mas em acessos e ambientes periféricos.
No registro nacional, foi um terceiro com credencial legítima. Na universidade, um ambiente de testes.
Lições para quem trata dados sob a LGPD
O caso dinamarquês tem leitura direta para organizações brasileiras. A LGPD estabelece o princípio da necessidade, que limita o tratamento ao mínimo de dados necessário para cada finalidade. Usar dados reais de meio milhão de pessoas para testar sistemas dificilmente passa nesse filtro. A boa prática é usar dados sintéticos, anonimizados ou mascarados em ambientes de desenvolvimento e homologação.
A lei também exige medidas de segurança técnicas e administrativas e prevê a comunicação de incidentes relevantes à ANPD e aos titulares. Pelo regulamento da autoridade, essa comunicação deve ser feita em até três dias úteis a partir do conhecimento do incidente.
Para gestores de segurança, ficam três perguntas: quais ambientes de teste da organização guardam dados reais? Quem tem acesso a eles? Credenciais de acesso físico estão separadas dos cadastros gerais? Responder a essas perguntas antes de um incidente custa muito menos do que responder depois.
Sobre a Universidade de Copenhague
Fundada em 1479, é a universidade mais antiga da Dinamarca e uma das principais instituições de pesquisa do país, com cerca de 36,8 mil alunos, 10,7 mil funcionários, seis faculdades e mais de 200 centros de pesquisa.
Teletex oferece experiência imersiva em cibersegurança com simulação de ataques e gamificação
Binance solicita licença ao Banco Central para operar com ativos virtuais no Brasil
O que é uma solução KYC, quais são os seus processos e exemplos?
Conheça a coluna Cibersegurança.
Conselheiro de administração ou CISO? Leia também: Orçamento 2027: guia da NACD ensina CISOs a falar a língua do conselho.
