KU Copenhague : double attaque, 525 000 identités volées

Ce qui s'est passé

La semaine du 20 octobre 2026 a été catastrophique pour l'université de Copenhague sur le plan de la cybersécurité. Le mardi 20 octobre, les équipes de sécurité informatique ont détecté un accès non autorisé à l'un des environnements de test de l'institution. L'accès a été bloqué rapidement, mais l'analyse forensique qui a suivi a révélé l'étendue réelle de la compromission. Cette première brèche a été annoncée publiquement le vendredi 23 octobre : les attaquants avaient exfiltré des données concernant environ 525 000 personnes.

La base de données exposée contenait des informations personnelles particulièrement sensibles dans le contexte danois : le prénom et le nom de famille, le numéro CPR (Det Centrale Personregister) — l'équivalent du numéro de sécurité sociale, utilisé comme identifiant universel dans l'ensemble des services administratifs, bancaires et de santé du Danemark — les numéros de téléphone professionnels et personnels, ainsi que les adresses e-mail personnelles. L'université a précisé que cette base provenait d'un environnement de test. Ce détail technique est au cœur des questions posées par les régulateurs : pourquoi un environnement de test contenait-il des numéros CPR authentiques au lieu de données anonymisées ou synthétiques ? Cette défaillance révèle un manquement grave à la gouvernance des données.

Le dimanche 25 octobre, une mise à jour de l'université a élargi le périmètre de la brèche : 20 000 étudiants et membres du personnel supplémentaires ont été identifiés comme ayant eu leurs codes PIN de badge d'accès physique exposés. En réponse, l'université a procédé à une restriction d'accès préventive sur plusieurs bâtiments critiques du campus — laboratoires, centres de données, zones administratives sécurisées — et lancé une procédure de redistribution progressive de nouveaux badges. Cette mesure a désorganisé considérablement la vie universitaire en plein milieu de semestre, privant des milliers d'étudiants et personnels de leur accès habituel à certaines installations.

Puis, le lundi 27 octobre au matin, l'université a annoncé avoir subi une seconde cyberattaque distincte de la première. En réponse, les administrateurs ont procédé à des arrêts contrôlés et préventifs de plusieurs systèmes administratifs majeurs, notamment Workzone — le système de gestion documentaire et de workflow administratif — et Nimbus, la plateforme de gestion des ressources humaines. Ces deux systèmes sont au cœur du fonctionnement quotidien de l'institution, et leur indisponibilité perturbe directement le traitement des dossiers étudiants, la gestion des contrats, la paie du personnel et les processus d'admission.

L'université n'a pas divulgué la nature technique de cette seconde attaque, ni confirmé si elle est liée aux mêmes acteurs que la première. Plusieurs hypothèses circulent dans la communauté de la cybersécurité : il pourrait s'agir d'une attaque opportuniste profitant de la fenêtre de vulnérabilité ouverte par la première brèche, d'une opération coordonnée par le même groupe dans le cadre d'une stratégie de double extorsion, ou d'un acteur tiers ayant acquis des accès initiaux compromis. Des experts cités par la presse danoise mentionnent également la possibilité que des identifiants exposés lors de la première brèche aient été utilisés pour pivoter vers de nouveaux systèmes internes — une technique bien documentée dans les chaînes d'attaque ransomware modernes.

Cette double attaque ne survient pas dans un vide : plusieurs autres universités danoises ont été victimes de cyberattaques dans les semaines précédentes. L'Université technique du Danemark (DTU) et l'Université d'Aarhus ont toutes deux connu des incidents récents. Cette concentration sectorielle suggère soit une campagne coordonnée ciblant délibérément les établissements d'enseignement supérieur danois, soit l'exploitation systématique d'une vulnérabilité commune à plusieurs systèmes d'information universitaires — un scénario rappelant les campagnes contre les universités françaises en 2023-2024 exploitant des failles dans des logiciels de gestion académique partagés entre plusieurs établissements.

La gravité de la situation a conduit le gouvernement danois à réagir au plus haut niveau. Le ministre en charge du numérique a convoqué une réunion d'urgence le lundi 27 octobre, rassemblant les directeurs des huit principales universités du pays. L'objectif annoncé est de coordonner une réponse collective et de définir des mesures d'urgence de renforcement de la cybersécurité dans le secteur académique. Cette démarche est inhabituelle : la convocation formelle des présidents d'université par un ministre dans le cadre d'une crise cyber témoigne de la prise de conscience gouvernementale de la vulnérabilité structurelle du secteur académique face aux menaces croissantes en Europe du Nord.

Sur le plan réglementaire, l'université a déclaré l'incident à l'Autorité danoise de protection des données (Datatilsynet), conformément aux obligations du RGPD qui imposent une notification dans les 72 heures suivant la découverte d'une brèche affectant des données personnelles. Pour les 525 000 personnes affectées, l'exposition du numéro CPR représente un risque élevé et persistant : ce numéro est utilisé dans l'ensemble des interactions avec l'administration danoise, les banques et les services de santé. Les victimes sont exposées à des risques d'usurpation d'identité, de fraude bancaire et de campagnes de spear phishing exploitant des informations personnelles authentiques. L'université a annoncé avoir entrepris la notification individuelle des personnes concernées — un défi logistique considérable à cette échelle.

Pourquoi c'est important

Cette affaire illustre de manière exemplaire plusieurs défaillances classiques de gouvernance des données dans les environnements universitaires. La présence de données de production réelles — dont des numéros d'identité nationale — dans un environnement de test constitue une violation manifeste des principes de minimisation des données et de cloisonnement des environnements, tous deux exigés par le RGPD. Les environnements de test doivent systématiquement utiliser des données anonymisées, pseudonymisées ou synthétiques. Cette règle, souvent négligée faute de ressources ou pour des raisons pratiques, est au cœur de nombreuses brèches majeures observées en Europe ces dernières années.

La double attaque en moins d'une semaine pose la question de la résilience des institutions académiques face à des acteurs persistants. Dans un contexte où les universités européennes ont été identifiées comme cibles prioritaires de groupes de menace étatiques (notamment pour l'espionnage de la recherche en IA, en défense et en biotechnologies) et de groupes cybercriminels (pour l'extorsion), la défense périmétrique ne suffit plus. Une segmentation réseau rigoureuse, une détection comportementale avancée, une gestion stricte des accès privilégiés et des plans de continuité d'activité régulièrement testés sont devenus des exigences minimales, même pour des entités académiques.

Le fait que la réponse danoise implique une coordination gouvernementale directe est un signal fort. La directive NIS2, entrée en application en octobre 2024, oblige les établissements d'enseignement supérieur à renforcer leurs capacités dans certains États membres. Le Danemark n'a pas encore intégré formellement l'enseignement supérieur dans le périmètre obligatoire de sa transposition NIS2, mais cet incident pourrait accélérer cette évolution réglementaire. D'autres pays européens observeront la réponse danoise comme modèle potentiel pour leurs propres secteurs académiques.

Enfin, la compromission des codes PIN d'accès physique illustre un vecteur sous-estimé : la convergence IT et contrôle d'accès physique. Lorsque les systèmes de contrôle des accès aux bâtiments partagent des bases de données avec les systèmes d'information académiques, une brèche numérique peut immédiatement se traduire en perturbation physique. Cette réalité doit être intégrée dans les modèles de menace et les plans de réponse aux incidents des établissements et entreprises ayant des systèmes de sécurité physique connectés à leur SI.

Ce qu'il faut retenir

• Ne jamais stocker de données personnelles réelles — a fortiori des identifiants nationaux — dans des environnements de test : utiliser des données synthétiques ou anonymisées est une obligation RGPD fondamentale.
• La double attaque en moins d'une semaine suggère un attaquant persistant avec plusieurs vecteurs d'accès ou l'exploitation de credentials compromis lors de la première brèche pour pivoter vers de nouveaux systèmes.
• La convergence entre systèmes IT et contrôle d'accès physique crée un vecteur de risque hybride à intégrer dans les plans de réponse aux incidents de toute organisation gérant des accès physiques sécurisés.