コペンハーゲン大、検証環境から約52万5,000人分流出 設定不備

何が起きたのか

デンマークのコペンハーゲン大学は2026年10月23日、サイバー攻撃を受けたと公表しました。大学のIT部門が不審な動きに気づいたのは10月20日です。攻撃者は検証環境の設定不備を突き、個人データの入ったデータベースに入りました。大学は、多くの弱点の候補を短時間で調べられる方法だったと説明しています。

大学は、この種のデータを検証環境に置いたことは誤りだったと認めて謝罪し、ほかのシステムへの侵入はないとしています。攻撃者と目的は分かっていません。公表が攻撃への気づきから3日後になったことについては、攻撃を抑え込み、範囲を調べてから正確に伝えるために時間が必要だったと説明しています。

対象のデータは、2026年1月13日にデータベースが最後に同期された時点のものです。この日より前に登録されていた人だけが対象になります。

漏れた情報

対象は現職と元職の職員、学生、関係者など、大学の利用者としての身元があった約52万5,000人です。項目は人によって違い、全員にすべてがあるわけではありません。

• 氏名、私用の電話番号とメールアドレス
• 大学の利用者名とメールアドレス、国籍、性別、所属
• 暗号化された個人番号（CPR）
• 入館カードのPIN（約2万人分）

個人番号は、復号に必要な情報も漏れたため、読まれる恐れが大きいとしています。自宅の住所は含まれません。健康情報など、大学に預けた機微な個人情報も含まれません。研究データに触れられたと考える理由もないとしています。

データには、少なくとも2002年にさかのぼるものがあり、それより古いものもありました。大学は、法律で保存が必要な期間を超えて持っていたり、その目的に必要のないデータを持っていたりしたことも、誤りだったとしています。卒業に関わる記録は、試験から30年は保存する義務があり、その後は国立公文書館に移す決まりです。

大学の対応

警察とデータ保護当局に届け出たほか、重要な一部の場所への入場を制限し、PINを替えてから再開しました。通知は10月27日から、個人番号が含まれる人にはデジタル郵便（Digital Post）で送り、メールアドレスを持つ人にはメールでも送っています。氏名しか記録がない人のために、通知の文面は公開もしています。

10月26日には、新たな攻撃の報告を受けて、管理系のシステムを予防的に止めました。翌27日に、新たな攻撃ではなく、新たな攻撃に見える動きだったと訂正しています。止める必要があったのは、最初の攻撃に関連するためです。外部からの接続を閉じて順に再開し、11月6日には外部のウェブサイトが戻りましたが、一部のシステムは学内からのみの利用などの制限が続いています。11月3日には、それまでカードだけで入れたドアにPINを加え始めました。

対象の人には、パスワードやMitIDの情報を求める予期しない電話、SMS、メールに注意し、入館カードのPINを他のサービスでも使っていれば変えるよう案内しています。問い合わせは、学生、職員、その他の人ごとに、専用のメールアドレスが分かれています。

日本の会社に関係すること

検証環境に本番のデータを置くと、守りの弱い場所に同じ情報が増えます。検証や開発で動作を確かめるときは、住所や連絡先を抜いたテストデータを用意し、本番の写しは置かないようにします。

保存期間を過ぎたデータも、漏れれば被害を広げます。退職者や過去の顧客の情報を、法律や業務で必要な期間を超えて持ち続けていないかを点検し、期限が来たものは消す手順を決めます。

暗号化しても、復号に必要な情報が同じ場所にあれば守りになりません。暗号化したデータと、復号に使う鍵は別の場所に置いているかを見直します。いずれも自社で確かめられる点です。