デンマークの大学で、乗っ取られたアカウントからID管理システムに入られ、最大約20万人分の個人番号などが漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、現役の利用者：個人番号（CPR番号）、氏名、自宅住所、顔写真、職場のメールアドレス、役職、緊急連絡先。過去の利用者：個人番号と氏名。最大約20万人分。2003年までさかのぼるデータを含むです。その後の対応と影響は、大学の対応チームが攻撃を止め、外部の専門家と調査している。デンマークのデータ保護庁に報告した。対象者に公的な電子私書箱で通知し、身に覚えのないログイン承認の要求に応じないことや、使い回したパスワードの変更を呼びかけたです。

原因になったのは「乗っ取られた利用者アカウントによるID・アクセス管理システムへのログイン」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

大学の説明では、攻撃者は乗っ取った大学のアカウントでID・アクセス管理システムにログインした。アカウントがどう乗っ取られたかは公表されていない。過去の利用者の個人番号と氏名がシステムに残っていたため、対象が広がった。

原因の種類は「認証情報の漏れ」です。IDやパスワードが漏れ、なりすましで入られた事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は28件あります。

事故が起きてから公表されるまで

1. 2026年10月2日以前攻撃者が乗っ取ったアカウントでID・アクセス管理システムに入る
2. 2026年10月2日大学が重大な個人データ侵害として公表し、データ保護庁に報告する
3. 2026年10月上旬対象者への通知を始める

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

ID管理システムのような重要なシステムへのログインにフィッシングに強い多要素認証を求め、退学・退職した人の個人番号を保管期限で消していれば、侵入と被害の範囲を小さくできた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 社員や利用者の情報をまとめて持つシステム（ID管理・人事など）の一覧を作る
2. そのシステムに入れるアカウントに、多要素認証が設定されているかを確認する
3. 退職者や退会者の個人番号などを、いつまで保管するかを決めて古いものを消す

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• Cyberattack on DTU: Notification of a personal data breach（DTU）2026.10.02
• Danish university DTU breach exposes data of up to 200,000 people（BleepingComputer）2026.10