Para: personas que estudian o trabajan, o lo hicieron, en la Universidad de Copenhague, y cualquiera en Dinamarca cuyo número CPR pueda estar en los datos. Este artículo se basa en informaciones coincidentes que citan el comunicado de la universidad, y no trata técnicas de ataque.
Sobre nuestras fuentes: no pudieron abrirse las páginas de la propia universidad
Las páginas de noticias de la universidad sobre este incidente (en inglés, en danés) rechazaron las conexiones de este sitio cuando lo intentamos el 30 de octubre de 2026, por lo que no pudimos leerlas. Todo lo que sigue procede de cuatro medios que citan el comunicado de la universidad del 23 de octubre y su actualización del 25 de octubre, y que coinciden en lo principal. Donde difieren, lo decimos y no concluimos nada. Volveremos a comprobar las páginas de la universidad y ajustaremos este artículo a ellas.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 30 de octubre de 2026Aún no se sabe
- El alcance exacto y quiénes son las unas 525.000 personas
- Si los unos 20.000 casos de PIN de tarjeta están dentro de las 525.000
- Cómo entró el atacante
- Qué fue la caída de sistemas del 26 de octubre (nuevo ataque o vinculada al primero)
- Confirmación en las páginas de la propia universidad
Según las informaciones, la universidad dice que sigue analizando el alcance exacto y dirá más cuando sepa más. Sus propias páginas no pudieron leerse desde este sitio el 30 de octubre.
Qué hacer hoy
No confíe en un mensaje porque conozca su nombre y su número CPR
Las informaciones dicen que se obtuvieron nombre completo, número CPR, teléfonos de trabajo y privados y un correo electrónico privado. Por tanto, un mensaje que acierte estos datos no es prueba de que sea genuino.
Si recibe un mensaje sobre "su cuenta", "un reembolso", "verificar su identidad" o "una comprobación de seguridad" que mencione este incidente o a la universidad, no haga clic en su enlace ni llame a su número. Abra usted mismo el sitio web oficial de la organización y contacte allí (vea ¿Qué es el phishing?).
No dé nunca un número CPR, una contraseña o un PIN si se lo piden
Las informaciones dicen que la universidad aconsejó prudencia con los mensajes no solicitados y comprobar las peticiones de forma independiente (la versión de BleepingComputer del consejo de la universidad).
Quien llama o escribe y ya conoce parte de su número CPR puede resultar convincente. Si alguien le pide confirmar el resto, cuelgue o cierre el mensaje y use un teléfono o un sitio que encuentre usted mismo.
Si tiene una tarjeta de identificación de la universidad, use solo el nuevo PIN que le dieron
En su actualización del 25 de octubre, la universidad dijo que se comprometieron los PIN de las tarjetas de identificación de unos 20.000 empleados y estudiantes y que a todos los afectados se les emitieron nuevos códigos. Las informaciones dicen que el acceso físico a determinados lugares del campus se restringió desde la tarde del 23 de octubre y se reabrió cuando los nuevos PIN estuvieron en vigor.
No reutilice el PIN antiguo en ningún sitio. Si usa los mismos dígitos para un teléfono, una tarjeta bancaria u otro bloqueo, cámbielos también.
Desconfíe durante un tiempo de las llamadas y SMS desconocidos
Puede crear una nueva dirección de correo, pero un número de teléfono no es fácil de cambiar. Los números filtrados pueden recibir llamadas y SMS fraudulentos durante mucho tiempo, también algunos que no tienen nada que ver con la universidad.
Activar los filtros de llamadas y SMS no deseados de su teléfono reduce cuántos llegan (contexto: Conceptos básicos de seguridad del smartphone).
Use autenticación multifactor en las cuentas importantes
Una dirección de correo más un número de teléfono permiten a un estafador intentar tomar el control de cuentas por las vías de "olvidé mi contraseña". Active la autenticación multifactor en su correo principal y en cualquier cuenta que guarde dinero o datos de identidad.
Siga las páginas de noticias de la propia universidad para los detalles
La universidad dijo que daría más información cuando la tuviera. Lea sus páginas de noticias directamente, no a través de enlaces de mensajes. Si le contacta, compruebe que el mensaje puede confirmarse en su sitio oficial.
Qué pasó (según las informaciones, que citan a la universidad)
Las fechas siguientes proceden de las informaciones. Cuando solo un medio da un detalle, se nombra.
Martes, 20 de octubre de 2026
Se detectó la intrusión y la universidad dice que controló el ataque (fechas de Infosecurity Magazine y Help Net Security; TV2 Kosmopol y BleepingComputer dicen "martes").Viernes, 23 de octubre (tarde)
La universidad anunció que unos hackers habían accedido a uno de sus entornos de pruebas y obtenido datos de unas 525.000 personas. Las informaciones dicen que esa tarde restringió el acceso físico a determinados lugares críticos del campus.Domingo, 25 de octubre
Actualización: se comprometieron los PIN de las tarjetas de identificación de unos 20.000 empleados y estudiantes. A todos los afectados se les emitieron nuevos códigos. La universidad dijo que había esperado para decirlo hasta que se cambiaron los PIN.Lunes, 26 de octubre
La universidad cerró por precaución varios sistemas administrativos (las informaciones nombran entre ellos Workzone y Nimbus). Infosecurity Magazine lo presenta como un nuevo ataque; vea la nota más abajo.Martes, 27 de octubre
Según Help Net Security, la universidad dijo que la actividad que parecía un nuevo ataque estaba vinculada al ataque original y no era uno nuevo. Algunos sistemas seguían afectados.
- Organización
- Universidad de Copenhague (Københavns Universitet)
- Quiénes
- Datos de unas 525.000 personas. Las informaciones revisadas no desglosan esta cifra por grupos
- Datos obtenidos
- Nombre completo, número CPR, teléfono de trabajo, teléfono privado, correo electrónico privado
- También comprometidos
- PIN de las tarjetas de identificación de unos 20.000 empleados y estudiantes (actualización del 25 de octubre); se emitieron nuevos códigos
- Dónde
- Uno de los entornos de pruebas de la universidad
- Operaciones diarias
- La universidad dijo que no había indicios de que los atacantes alcanzaran sistemas que sustentan las operaciones diarias (comunicado del 23 de octubre, según se informó)
- Respuesta
- Ataque controlado y acceso bloqueado; análisis del alcance exacto en curso; acceso físico a determinados lugares del campus restringido y luego reabierto al emitirse nuevos PIN
- Autoridades
- Comunicado a la Agencia Danesa de Protección de Datos (Datatilsynet) conforme al RGPD; otras autoridades pertinentes mantenidas informadas
- Causa
- No se ha informado. En las informaciones revisadas ningún grupo había reivindicado la autoría
Dónde difieren las informaciones y qué concluimos
Los PIN de las tarjetas y las 525.000. BleepingComputer escribe que la actualización del 25 de octubre "added another 20,000 staff and students whose PIN codes were exposed" a la cifra de 525.000, que vincula con un entorno de pruebas que contenía datos personales de 525.000 personas. Help Net Security e Infosecurity Magazine dan 525.000 como la cifra del primer anuncio y describen los PIN como una actualización aparte. Ninguna información dice con claridad si los unos 20.000 están dentro de las 525.000. Este artículo lo trata como no sabido.
El cierre del 26 de octubre. Infosecurity Magazine informó de un nuevo ataque el lunes. Help Net Security informó de que la universidad dijo el martes que la actividad estaba vinculada al ataque original y no era nueva. No concluimos nada y seguiremos el comunicado de la universidad.
TV2 Kosmopol informa además de un intento de intrusión en la Universidad de Aarhus el día anterior al anuncio, que es un caso aparte que este artículo no cubre.
Qué se sabe y qué no
Estado a fecha del 30 de octubre de 2026. Actualizaremos esta tabla a medida que la universidad publique más.
| Elemento | Qué se informó | Estado |
|---|---|---|
| Unos hackers accedieron a un entorno de pruebas | Declarado por la universidad, según informaron los cuatro medios | Confirmado (universidad, según se informó) |
| Detección | Martes 20 de octubre (dos medios dan la fecha) | Confirmado (según se informó) |
| Personas cuyos datos se obtuvieron | Unas 525.000, la cifra del primer anuncio | Confirmado (universidad, según se informó); alcance exacto en análisis |
| Nombre completo, número CPR | Obtenidos | Confirmado (universidad, según se informó) |
| Teléfonos de trabajo y privados, correo electrónico privado | Obtenidos | Confirmado (universidad, según se informó) |
| PIN de tarjeta de identificación de unos 20.000 empleados y estudiantes | Comprometidos, nuevos códigos emitidos (25 de octubre) | Confirmado (universidad, según se informó) |
| Si los 20.000 están incluidos en las 525.000 | No consta | En investigación |
| Quiénes son las 525.000 (estudiantes, empleados, antiguos miembros, otros) | No desglosado en las informaciones | No consta |
| Contraseñas, datos bancarios, notas o datos médicos | No figuran entre los datos obtenidos | No consta |
| Sistemas que sustentan las operaciones diarias | Sin indicios de que fueran alcanzados (comunicado del 23 de octubre) | En investigación |
| El cierre del 26 de octubre: nuevo ataque o vinculado al original | Las informaciones difieren | En investigación |
| Cómo entraron los hackers | No se ha informado | En investigación |
| Quién está detrás | Sin reivindicación de autoría en las informaciones revisadas | No consta |
| Si se ha visto un uso indebido de los datos | No se ha informado | No consta |
| Una forma de comprobarlo individualmente | No descrita en las informaciones revisadas | No consta |
Para qué pueden usarse estos datos combinados
Un nombre, un número CPR, dos teléfonos y un correo electrónico privado bastan juntos para redactar un mensaje que parezca de una universidad, un banco, una autoridad pública o una empresa de reparto. El número CPR es el dato que más hay que tomar en serio. En Dinamarca se usa mucho como identificador y no puede cambiarse libremente, de modo que puede ser útil para un estafador durante mucho tiempo. Para el contexto danés más amplio, vea el uso indebido del registro CPR de Dinamarca en 2026, un caso aparte.
Nombre + número CPR + correo
↓→
Mensajes convincentes que citan su nombre y su número CPR
Llamadas y SMS falsos que usan su nombre
→ No haga clic; contacte con el remitente por un sitio que encuentre usted mismo
↓→
Nombre + teléfonos
→ No dé nunca un número CPR, contraseña o PIN; use filtros de spam
Cómo leerlo: un número CPR correcto no prueba nada
Muchos servicios de Dinamarca le piden confirmar un número CPR. Tras una filtración, quien llama y recita correctamente su número CPR no demuestra quién es. Cuelgue y devuelva la llamada a un número que encuentre usted mismo.
Para quienes gestionan sistemas con datos personales
Las informaciones dicen que la intrusión fue en un entorno de pruebas, y sin embargo los datos obtenidos incluían números CPR de personas reales. Esta sección trata puntos generales que esto plantea, no la causa de este incidente, que no se ha informado.
Haga una lista de los datos personales reales que hay fuera de producción
Las copias de prueba, preproducción y desarrollo suelen contener registros reales porque es cómodo. Haga un inventario de qué sistemas que no son de producción guardan datos personales reales y trate los que los guardan con los mismos controles que producción: límites de acceso, registro y supervisión.
Prefiera datos sintéticos o enmascarados en los entornos de prueba
Si la prueba necesita formas realistas, genere registros falsos o enmascare nombres y números de identificación nacional antes de copiar. Así, si se vulnera un entorno de pruebas, se expone mucho menos.
Planifique con qué rapidez puede restablecerse una credencial
Aquí la universidad restringió el acceso físico mientras emitía nuevos PIN. Si su sistema usa códigos cortos para el acceso, decida de antemano cómo se sustituyen para todos y cuánto tarda.
Fuentes (registro público)
Las páginas de la propia universidad no pudieron abrirse desde este sitio el 30 de octubre de 2026 (conexión rechazada). Los hechos anteriores proceden de las siguientes informaciones, que citan los comunicados de la universidad. No se especula sobre los métodos y causas no revelados.
- University of Copenhagen, página de noticias sobre el ciberataque (en inglés; no legible desde este sitio el 30 de octubre) — news.ku.dk
- University of Copenhagen, página de noticias (en danés, marcada como actualizada; no legible desde este sitio el 30 de octubre) — nyheder.ku.dk
- BleepingComputer, "University of Copenhagen data breach exposes data of 525,000 people" (26 de octubre de 2026) — bleepingcomputer.com
- Infosecurity Magazine, artículo sobre la filtración (27 de octubre de 2026) — infosecurity-magazine.com
- Help Net Security, artículo sobre la filtración (sin fecha en nuestra copia) — helpnetsecurity.com
- TV2 Kosmopol, noticia (en danés; sin fecha en nuestra copia) — tv2kosmopol.dk
Historial de actualizaciones
2026-10-30: Primera versión, basada en cuatro informaciones de prensa que citan los comunicados de la universidad del 23 y el 25 de octubre. Las páginas de la propia universidad no pudieron leerse desde este sitio ese día. Este artículo se actualizará cuando puedan comprobarse y cuando la universidad publique más.
Lectura recomendada
- Estafas posteriores: ¿Qué es el phishing? / Conceptos básicos de seguridad del smartphone
- Proteger las cuentas: Guía de autenticación multifactor
- Otro incidente danés con números CPR: Uso indebido del registro CPR de Dinamarca (unos 8,8 millones de personas)
- Otros incidentes de 2026: Lista de filtraciones de datos y ciberataques