CPR de 525 mil em ambiente de teste da KU

O que a KU afirma, em comunicado de 23/10 (atualizado em 25 e 26/10): o ataque foi detectado na terça-feira (20/10), atingiu 'um dos testmiljøer' da universidade, e os invasores 'obtiveram acesso' a uma base com cerca de 525 mil pessoas. A base tem nome completo, CPR, telefone de trabalho, telefone pessoal e e-mail pessoal. A KU diz que nada indica acesso a sistemas de operação diária e que a universidade ainda analisa o 'alcance exato' do vazamento. Por ser a própria vítima, é fonte A. É também a origem de todos os números repetidos pela imprensa.

O que o ator alega: nada. Não encontrei reivindicação, nota de resgate ou listagem em site de vazamento. Por isso claimed_records fica nulo e a distância 'alegado x confirmado', que costuma ser a informação mais útil num caso, não existe aqui. O 525 mil que nosso registro tratava como alegação é número da vítima. A correção é de selo e veredito: de claimed/unverified para confirmed/real. A data do registro (26/10) é a da matéria da BleepingComputer; a divulgação original foi em 23/10.

O que o regulador diz: a KU afirma ter notificado a Datatilsynet e que o caso cai no GDPR. Não localizei manifestação própria da Datatilsynet nem decisão. O que é público do Estado é a nota do Ministério da Segurança Social e Preparação e da Styrelsen for Samfundssikkerhed de 23/10, que acompanham os casos da KU e de Aarhus, e declarações do ministro de Pesquisa, Educação e Digitalização após o segundo ataque. Nenhum desses documentos dá detalhes técnicos.

Onde a cobertura embaralha. A BleepingComputer escreve que a atualização acrescentou 'outros 20.000' com PINs expostos, o que sugere soma. A KU diz que os PINs são de 'uma parte dos afetados' e que não há novo vazamento. O Omnibus (Aarhus Universitet) trata os PINs como 'senhas'. Um terceiro ponto: 'obtiveram acesso' não é 'exfiltraram'. Um agregador (Secureblink) sugere tratar roubo como hipótese de trabalho porque a KU reemitiu PINs. É inferência razoável para as credenciais de cartão, mas não demonstra a cópia dos 525 mil registros, e a KU nunca disse isso.

O ângulo que a cobertura quase não persegue: por que havia 525 mil identidades reais, com CPR, num ambiente de teste? A KU não respondeu. O número é grande demais para ser só o quadro atual: a universidade tem cerca de 36.800 estudantes e 10.700 funcionários (segundo o Mezha, veículo agregador), então a base provavelmente inclui ex-alunos, candidatos, ex-funcionários ou outros públicos. A KU não disse quais grupos, e um veículo dinamarquês (Kurateret Kaos) nota que o comunicado não permite saber se determinada pessoa está entre os afetados. Isso é inferência nossa e não pode ser verificada com o que é público. Também não há explicação de como os PINs de cartão chegaram a um ambiente de teste.

O segundo ataque. Em 26/10 a KU informou novo ataque 'tidligere på dagen' e desligou sistemas administrativos. DR, TV2 Kosmopol e Kristeligt Dagblad reportam o fato a partir do site da KU. Não há informação pública sobre vetor, escopo ou ligação com o de 20/10. O fato de um ataque seguir o outro em seis dias pode indicar acesso persistente ou reentrada, mas também pode ser coincidência num mês em que DTU, Aarhus e KU foram atingidas e em que o registro nacional de CPR sofreu um incidente próprio. Nenhuma fonte liga esses casos; tratamos como eventos sem relação comprovada.

A comunicação também é um ponto de apuração: a KU avisou três dias depois da detecção e adiou a menção aos PINs até reemiti-los. A justificativa de segurança é plausível, mas o conselho estudantil criticou o atraso e a KU não comentou. Para o GDPR, o prazo de 72 horas para notificação à autoridade conta a partir da ciência do controlador, e a KU diz ter notificado, sem informar quando.

Cerca de 525 mil pessoas tiveram nome, CPR, telefones e e-mail pessoal numa base acessada por invasores. A combinação CPR + contato pessoal serve a phishing direcionado e engenharia social, já que o CPR é usado na Dinamarca como identificador em muitos serviços. Aproximadamente 20.000 funcionários e estudantes tiveram PINs de cartão de identificação comprometidos; os PINs foram trocados e o acesso físico a locais críticos foi fechado por algumas horas, mas a KU não diz se houve uso indevido de cartões. Não houve, segundo a KU, impacto operacional no incidente de 20/10. O ataque de 26/10 causou desligamento preventivo de sistemas administrativos e possível instabilidade nos sites, sem escopo de dados divulgado.