Université de Copenhague : un environnement de test piraté expose les données de 525 000 personnes
L'Université de Copenhague a annoncé le 23 octobre 2026 que des pirates avaient accédé à l'un de ses environnements de test, et aux données d'environ 525 000 personnes : nom complet, numéro d'identité national, téléphones professionnel et personnel, adresse e-mail personnelle. L'université a notifié l'autorité danoise de protection des données. Pour un DPO, la leçon tient en une question : quelles données réelles dorment dans vos environnements hors production ?
Ce que l'université a communiqué
Selon la page d'information de l'université, l'attaque a été détectée le mardi 20 octobre puis maîtrisée. L'annonce publique est intervenue trois jours plus tard, le vendredi 23 octobre au soir. Les attaquants ont eu accès à une base de données d'un environnement de test. L'université indique n'avoir relevé aucun signe d'accès aux systèmes qui supportent ses activités quotidiennes, et précise analyser encore l'étendue exacte de la violation.
Le dimanche 25 octobre, l'université a ajouté que les codes PIN des cartes d'identification d'environ 20 000 membres du personnel et étudiants avaient été compromis. Elle explique avoir attendu que de nouveaux codes soient émis avant d'en parler, pour des raisons de sécurité, et avoir restreint dès le vendredi soir l'accès physique à certains lieux critiques du campus, rouverts depuis. Elle précise qu'il ne s'agit pas d'une nouvelle violation.
Le lundi 26 octobre, plusieurs systèmes administratifs, dont Workzone et Nimbus, ont été arrêtés de façon préventive : l'université évoquait alors une nouvelle attaque. Elle a corrigé le 27 octobre : il s'agissait d'une activité qui en avait l'apparence, et non d'une nouvelle attaque. L'arrêt reste lié à l'attaque initiale. Selon Infosecurity Magazine, aucun groupe n'avait revendiqué l'attaque au 27 octobre.
Pourquoi c'est important
L'université estime elle-même que l'incident relève du RGPD. Les données en cause pèsent lourd : un identifiant national associé au nom, au téléphone et à l'e-mail personnel suffit à préparer des hameçonnages ciblés ou des usurpations d'identité. Le Danemark sort d'un autre incident de ce type, avec l'accès non autorisé aux données de 8,8 millions de personnes du registre CPR annoncé le 5 octobre.
Le cas illustre surtout un angle mort fréquent : l'environnement de test. L'article 32 du RGPD impose des mesures de sécurité adaptées au risque, et cite la pseudonymisation parmi elles. Un jeu de test alimenté par une copie de la production hérite de tout le risque de la production, souvent sans ses contrôles d'accès ni sa supervision. La pseudonymisation des données ou des données synthétiques réduisent ce risque à la source.
Côté procédure, la notification à l'autorité relève de l'article 33 du RGPD : 72 heures au plus tard après en avoir pris connaissance. L'université ne précise pas la date de sa notification.
Ce que ça change pour les organisations
- Inventorier les environnements de recette, de test et de développement, et vérifier lesquels contiennent des données personnelles réelles.
- Remplacer les copies de production par des jeux pseudonymisés, masqués ou synthétiques, et tracer cette règle dans le registre des traitements.
- Appliquer aux environnements de test les mêmes contrôles d'accès, la même journalisation et la même supervision qu'à la production tant qu'ils hébergent des données réelles.
- Prévoir dans la procédure de gestion des violations de données les communications successives : périmètre initial, compléments, correctifs.
- Identifier les données d'accès physique (badges, codes PIN) liées aux identités et la façon de les réémettre en urgence.
Ce que Leto en pense
Les communications successives de l'université montrent une gestion de crise transparente, correctif compris. Mais l'incident rappelle que la mesure la plus efficace se prend en amont : l'annexe A d'ISO/IEC 27001:2022 y consacre deux mesures, A.8.31 sur la séparation des environnements de développement, de test et de production, et A.8.33 sur la protection des informations de test. Un registre à jour qui recense aussi les copies hors production est la condition pour les appliquer. Leto tient déjà la partie RGPD de votre SMSI, registre et sous-traitants compris : demander une démo.
Sources
