丹麦哥本哈根大学确认，攻击者进入该校一个测试环境，访问了约 52.5 万人的个人数据，包括姓名、丹麦国家身份号（CPR）、工作电话、私人电话与私人邮箱；此外约 2 万名师生与员工的门禁卡 PIN 码同样泄露。校方于 10 月 20 日检测到入侵，10 月 23 日晚间才对外公开，已向丹麦数据保护局（Datatilsynet）报告，事件适用 GDPR。
测试环境里为什么会有真实身份号
这是整起事件最需要回答的问题。校方在公告中只说攻击者访问了测试环境中的一个数据库，包含约 52.5 万人的个人数据，未说明这份数据为何会以未脱敏状态存在于非生产系统。
用生产数据填充测试库是行业里长期存在的做法，安全团队反复警告的正是这件事：测试环境通常监控更弱、访问控制更松、生命周期管理更随意，但它承载的数据敏感度与生产系统一模一样。哥本哈根大学约有 3.68 万名学生与 1.07 万名员工，52.5 万这个数字远超在校规模，说明库中还包含已离校人员的历史记录——这也意味着受影响人群无法靠”现役名单”来判断自己是否在列。
校方同时表示仍在分析泄露的确切范围，尚未说明 52.5 万条记录由哪些群体构成（在读、毕业、离职或在申请人），也未回应是否收到勒索要求、数据是否被拷走。
时间线：三天披露间隔与一次误判
- 10 月 20 日（周二）：检测到网络攻击，随后控制并封堵攻击者访问。
- 10 月 23 日（周五）晚：对外公开。当晚出于预防，限制了校内若干关键场所的物理出入。
- 10 月 25 日：追加披露约 2 万名师生的门禁卡 PIN 泄露。校方称这不是新事件，此前为安全起见暂缓公布，直到新 PIN 码发放在即。
- 10 月 26 日：校方称遭到新一轮攻击，预防性关停 Workzone、Nimbus 等若干行政系统，并提示官网可能难以访问。
- 10 月 27 日：更正——经核查当晚并无新攻击，只是系统活动一度看起来像攻击；但关停仍与原始事件相关，部分系统继续受影响。
新 PIN 码到位后，受限场所逐步重新开放。校方称攻击者访问已被封堵，没有迹象表明支撑日常运营的系统被触及，也没有活动因此中断。
三日间隔引来了批评。据丹麦媒体报道，哥本哈根大学学生理事会主席认为学生应该更早知情，因为这些数据足以支撑像样的钓鱼攻击。
影响评估：CPR 是不可更换的凭证
姓名、CPR、私人电话、私人邮箱这四项凑在一起，构成了一套完整的冒充素材：能对得上号、能发到人、能编出可信的上下文。对攻击者来说，这类组合最直接的用途是精准钓鱼与短信钓鱼，进一步是投递信息窃取木马、骗取系统访问权限。
更麻烦的是 CPR 本身。它不是可以重置的密码，而是丹麦的强身份标识，一旦泄露就是长期暴露面。机构能做的是加强监控，个人能做的是对任何索要”身份确认”的来电、短信、邮件保持默认怀疑。
这已经是哥本哈根大学 2026 年第二起重大数据安全事件。5 月，该校使用的 Absalon 学习平台被卷入 Instructure Canvas 事件；同期丹麦技术大学（DTU）也发生数据泄露，影响最多 20 万名学生与员工。丹麦民事保护与应急管理部 10 月 23 日表示正在跟进哥本哈根大学与奥胡斯大学两起事件——后者 10 月 19 日在一台服务器上检测到入侵——但主管部门未公开将两者关联。
给机构的处理清单
- 立刻清点非生产环境中的生产数据副本。测试、预发、数据分析沙箱、备份验证环境，都是这次事件的同类风险点。找不到台账，就等于不知道自己在哪一天会重复这个剧本。
- CPR 这类不可更换标识应做令牌化。测试数据脱敏不是”把姓名打星号”，而是让身份号在非生产环境中根本不出现，或在映射表受控的前提下替换为代理值。
- 非生产环境要给同等强度的访问控制与监控。攻击者选测试环境，往往不是因为它更值钱，而是因为它更容易进、且进去了不容易被发现。
- 缩短从检测到披露的间隔。三天的窗口里，受影响人群已经在无防备状态下收邮件、点链接。披露延迟本身会放大二次攻击成功率。
- 核查测试库访问日志：谁在什么时间以什么身份连过这个库、有没有批量导出行为。这部分证据往往比主机日志更完整。
对个人而言，具体动作是：把来自校方域名的邮件当成可能伪造的，任何要求点链接”确认身份”或”续期邮箱”的消息都从官网入口反向核实；对已泄露的门禁 PIN，等新码发放后不要再启用旧码。