Tidslinje for hackerangrebet mod DTU

15. september, eftermiddag | Ukendt aktør angriber DTU’s identitetsstyringssystem

En ukendt aktør kompromitterer identiteten af en ekstern brugerkonto (gæstekonto) på DTU. Kontoen har ingen generelle rettigheder på DTU, men aktøren bruger den til at undersøge DTU’s system til identitetsstyring, DTUBasen.

Aktøren finder en række sårbarheder i DTUBasen, og udnytter dem til at angribe systemet. Da en nyindskrevet gæstestuderende opretter sin profil under angrebet, lykkes det aktøren at opsnap-pe brugernavn og adgangskode under et passwordskifte. Denne konto har ikke yderligere rettigheder i DTU’s identitetsstyringssystemer.

17. september, eftermiddag | Aktøren får adgang til DTU’s netværk

Aktøren opsætter MFA (multifaktorgodkendelse) på den studerendes konto og kan derefter logge på DTU’s netværk via DTU’s VPN-løsning. Adgangen via VPN giver aktøren mulighed for at angribe og udnytte yderligere sårbarheder i identitetsstyringssystemet.

18. september, eftermiddag | Angrebet intensiveres

Ved at udnytte sårbarheder opnår aktøren fuld adgang og udvidede administratorrettigheder til DTUBasen, tilføjer brugere og ændrer i deres rettigheder.

20. september, eftermiddag | DTU opdager angrebet og stopper det

En IT-medarbejder opdager fejlagtige og uventede data i et IT-system og reagerer på dem.

DTU’s IT-afdeling konstaterer, at kilden til de fejlagtige data er DTUBasen, og at der er foretaget uautoriserede ændringer i systemet.

DTU påbegynder straks inddæmning af angrebet og arbejdet med at afdække dets omfang.

21. september | Første berørte personer identificeres

DTU konstaterer, at personoplysninger om konkrete enkeltpersoner er blandt de data, som uvedkommende har fået adgang til.

Angrebet indberettes til Datatilsynet og NIS 2-myndighederne.

Den netværksmæssige adgang til DTUBasen begrænses og alle systemadgange nulstilles.

22. september | Angrebets omfang bliver tydeligere

Ved gennemgang af logfiler konstaterer DTU, at der den 18. har været et stort udtræk af data. Da aktøren opererer med udvidede administratorrettigheder, lykkedes det at omgå DTU’s alarmer.

23. september | De første berørte personer underrettes

DTU sender underretningsbreve til de 11 personer, som på dette tidspunkt konkret kan identifi-ceres som berørte. I to tilfælde har DTU ikke CPR-numre på personerne og leder forgæves efter andre kontaktoplysninger, og derfor kan de ikke kontaktes direkte.

DTU fortsætter undersøgelserne af angrebets omfang og får ekstern ekspertbistand til at analy-sere databaseserveren og de tilhørende logfiler.

DTU opdaterer NIS 2-myndighederne om sagens forløb.

24. september | DTU kan ikke afkræfte et større læk

Undersøgelserne viser, at det ifm. med det store dataudtræk ikke er muligt at afkræfte, at der kan være sket et læk af persondata.

24. september | Ny mistænkelig aktivitet stoppes

DTU konstaterer mistænkelig aktivitet fra en ny, ikke tidligere identificeret konto og netværks-adresse.

DTU lukker kontoen og indfører yderligere begrænsninger i netværket. Der er ikke registreret nogen mistænkelig aktivitet siden.

25. september | DTU kontakter politiet

DTU har undervejs underrettet Datatilsynet og NIS-2 myndighederne om sagens forløb.

Dagen efter, at et nyt angreb stoppes, og det samtidig ikke kan afvises, at et større læk af per-sondata har fundet sted, beslutter DTU i tillæg også at rette formel henvendelse til politiet for at afklare den videre håndtering.

28. september | DTU konstaterer, at omfanget kan være langt større end hidtil antaget

DTU konstaterer, at det ikke er muligt at afgøre, hvor omfattende datalækket er.

DTU må derfor lægge til grund, at data om samtlige ca. 200.000 aktive og inaktive brugere kan være lækket.

29. september - 1. oktober | DTU kan ikke underrette alle direkte

DTU begynder at forberede underretning af alle de berørte.

Det konstateres, at det ikke er muligt at underrette alle direkte, idet DTU ikke har CPR-numre på alle studerende og ansatte (f.eks. internationale); kun i få tilfælde på gæster og samarbejds-partnere, og ikke på pårørende.

DTU undersøger derfor muligheden for at kontakte personer via e-mail i de tilfælde, hvor DTU ikke har deres CPR-nummer.

Da det står klart, at direkte underretninger ikke vil være tilstrækkelig til at nå alle, planlægger DTU en bred, offentlig udmelding om angrebet.

2. oktober | DTU melder offentligt ud om angrebet

DTU udsender en pressemeddelelse med en bred, offentlig udmelding om angrebet.

DTU udsender mail med underretning til brugere uden CPR-nummer, men hvor DTU har mail-adresse.

DTU sender underretningsbreve via e-Boks til brugere med CPR-nummer.

Politiets Nationale enhed for Særlig Kriminalitet kobles på sagen og modtager alt relevant mate-riale til videre efterforskning.

6. oktober | DTU indberetter igen til Datatilsynet

DTU sender endnu en indberetning til Datatilsynet, der i detaljer gennemgår resultaterne af DTU’s undersøgelser. Disse resultater ligger til grund for ovenstående del af tidslinjen.

7. oktober | DTU igangsætter tvungent skift af adgangskoder

DTU orienterer samtlige aktive brugere via mail og intranet om, at der gennemføres et tvungent skifte af adgangskoder. Brugerne får frist til fredag den 9. oktober kl.12., hvorefter alle ikke-skiftede adgangskoder nulstilles.

9. oktober | Adgangskoder nulstilles

Over halvdelen af DTU’s ca. 30.000 aktive brugere skifter selv deres adgangskoder. Resterende adgangskoder nulstilles efter planen kl. 12.