事件概述
丹麦技术大学（DTU）于 10 月 2 日公开披露一起数据泄露事件：攻击者使用窃取到的账号凭证登入校方身份与访问管理（IAM）系统 DTUBasen，并下载了其中大量数据。校方表示无法精确判定被下载的具体内容与受影响人数，但 DTUBasen 内保存着约 4 万名在职用户与 16 万名离职用户记录，因此潜在受影响人数最多可达 20 万。
上述 20 万是系统容量而非已确认受害者数量。DTU 已向丹麦数据保护局（Datatilsynet）及相关主管部门报告，并联合外部取证专家继续调查。
数据范围与时间跨度
DTU 指出，DTUBasen 中的数据最早可追溯至 2003 年，凡自 2003 年起在该校任职、就读、担任访客或作为外部合作方出现过的人员，均可能被纳入。潜在泄露字段包括：
- 丹麦公民登记号（CPR，相当于社会安全号，广泛用于开立银行账户、就医与政府服务）；
- 完整姓名、家庭住址与个人头像；
- 工作邮箱、职务名称、办公地点及其他雇佣相关信息；
- 在职用户主动登记时提交的近亲属姓名、关系与联系电话。
校方补充，对于离职用户，家庭住址、头像与近亲属信息会在六个月后自动删除，但 CPR 号与完整姓名仍长期保留在系统中。
技术细节与攻击路径
公开信息显示，攻击者是通过合法凭证完成认证的，与 MITRE ATT&CK 中的 T1078（有效账号）高度吻合，推测入口为凭证填充或钓鱼。登入 DTUBasen 后，攻击者在其权限范围内大面积读取并外传数据，随后被校方 IT 应急团队发现并阻断。
入口：窃取的 DTU 用户凭证（疑似凭证填充 / 钓鱼）
动作：登入 DTUBasen IAM 系统 -> 批量导出用户记录
结果：跨逾 20 年数据被下载，检测时已完成外传校方称未发现恶意软件投放、权限提升或此后的横向移动迹象，本次事件更像是以数据外传为目标的行动，而非勒索或破坏。
影响评估
CPR 号与住址、近亲属联系方式的组合，足以支撑高可信度的身份诈骗与定向钓鱼：攻击者可以伪造出”知道你在 DTU 待过”的说辞，显著提高社工成功率。校方特别提醒，任何自称为 DTU 并索要密码或要求批准登录的来电、短信与邮件都应视为可疑。
事件同时叠加 GDPR 与 NIS2 合规压力：校方或需就身份管理系统的监控与访问控制缺失承担说明义务。
修复建议
- 受影响人员应更换与其他服务复用的相同密码，并考虑对本人 CPR 号设置信用警示。
- 教育机构应对 IAM 系统强制启用多因素认证，并禁止校外直连管理接口。
- 对身份库的批量导出行为建立告警基线（单账号短时间大量读取即触发）。
- 对历史数据做最小化处理，明确离职人员数据的保留期限与清除策略。
- 将 IAM、邮件与身份联合服务纳入统一的出口流量与数据外传监控。