対象：コペンハーゲン大学に在籍・勤務している、または過去にしていた人、そしてCPR番号が含まれたかもしれないデンマークの居住者。この記事は同大の発表を引用した、内容が一致する報道に基づき、攻撃の手口には触れません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月30日時点まだ分かっていないこと
- 正確な範囲と、約52.5万人の内訳
- IDカードのPINが漏れた約2万人が52.5万人に含まれるか
- 侵入の方法
- 10月26日のシステム停止の性格（新たな攻撃か、最初の攻撃に関連か）
- 同大の公式ページでの確認
報道によれば、同大は正確な範囲を分析中で、分かり次第さらに知らせるとしています。同大の公式ページは、10月30日に当サイトから読めませんでした。
今日やること
氏名とCPR番号を知っている相手でも、そのまま信用しない
報道によれば、氏名、CPR番号、勤務先と私用の電話番号、私用のメールアドレスが取得されました。これらが正しく書かれた連絡でも、本物の証拠にはなりません。
「アカウントの確認」「返金」「本人確認」「セキュリティ点検」などを理由に、この事件や同大に触れた連絡が来たら、リンクは開かず、書かれた番号にも電話しないでください。組織の公式サイトを自分で開いて問い合わせます（フィッシングとは）。
CPR番号・パスワード・PINは、求められても教えない
報道（BleepingComputerが伝える同大の注意）によれば、同大は、求めていない連絡に注意し、依頼は別の経路で確認するよう呼びかけています。
CPR番号の一部を知っている相手は、説得力があるように聞こえます。残りの確認を求められたら、電話を切るか連絡を閉じ、自分で調べた番号やサイトに連絡し直してください。
IDカードを持つ人は、新しいPINだけを使う
同大は10月25日の更新で、職員・学生約2万人のIDカードのPINが漏れ、対象者全員に新しい番号を発行したと述べました。報道によれば、10月23日夜から一部の学内施設への入構を制限し、新PINの配布に合わせて再開しています。
古いPINはどこにも使い回さないでください。スマートフォン、銀行カードなどで同じ数字を使っていれば、それも変えます。
しばらくは知らない電話やSMSを疑う
メールアドレスは新しく作れますが、電話番号は変えにくいものです。漏れた番号には、同大と関係のない詐欺の電話やSMSも長く届き得ます。
スマートフォンの迷惑電話・迷惑SMSのフィルターを有効にすると、届く数を減らせます（スマホのセキュリティ基本）。
大事なアカウントには多要素認証を付ける
メールアドレスと電話番号がそろうと、「パスワードを忘れた」の経路でアカウントを乗っ取ろうとされます。主なメールと、お金や本人確認情報を扱うアカウントには多要素認証を設定してください。
同大のニュースページを自分で開いて続報を見る
同大は、分かり次第さらに知らせるとしています。メール内のリンクではなく、同大のニュースページを自分で開いて確認してください。同大から連絡が来たときは、その内容が公式サイトで確認できるかを見ます。
何が起きたのか（同大の発表を引用した報道より）
以下の日付は報道によります。1社だけが伝える点は、その社名を書いています。
2026年10月20日（火）
侵入が検知され、同大は攻撃を制御下に置いたとしています（日付はInfosecurity MagazineとHelp Net Securityによる。TV2 KosmopolとBleepingComputerは「火曜」と伝える）。10月23日（金）夜
同大が、テスト環境の1つにハッカーが侵入し、約52.5万人分のデータが取得されたと公表しました。報道によれば、同夜から一部の重要な学内施設への入構を制限しました。10月25日（日）
更新：職員・学生約2万人のIDカードのPINが漏れた。対象者全員に新しい番号を発行した。同大は、PINを替えるまで公表を控えたと説明しています。10月26日（月）
同大が予防的に複数の管理系システムを停止しました（報道はWorkzoneとNimbusを挙げる）。Infosecurity Magazineはこれを新たな攻撃として伝えています。下の注記を参照。10月27日（火）
Help Net Securityによれば、同大は、新しい攻撃に見えた動きは最初の攻撃に関連するもので新規ではないと述べました。一部のシステムは障害が続いていました。
- 組織
- コペンハーゲン大学（Københavns Universitet）
- 対象
- 約52.5万人分のデータ。確認した報道では、この人数の内訳（属性別）は示されていない
- 取得された項目
- 氏名、CPR番号、勤務先の電話番号、私用の電話番号、私用のメールアドレス
- あわせて漏れたもの
- 職員・学生約2万人のIDカードのPIN（10月25日の更新）。新しい番号を発行済み
- 場所
- 同大のテスト環境の1つ
- 日常業務
- 日常業務を支えるシステムに攻撃者が到達した兆候はない、と同大は述べた（10月23日の発表、報道による）
- 対応
- 攻撃を制御下に置いて侵入を遮断。正確な範囲を分析中。一部の学内施設への入構を制限し、新PINの発行に合わせて再開
- 当局
- GDPRに基づきデンマークのデータ保護機関（Datatilsynet）に届出。ほかの関係当局にも状況を共有
- 原因
- 報じられていない。確認した報道の時点で犯行声明を出した者はいない
報道が分かれている点と、当サイトの扱い
IDカードのPINと52.5万人の関係。BleepingComputerは、10月25日の更新で「さらに職員・学生2万人のPINが漏れたと追加した」と書き、52.5万人は個人データを含むテスト環境の対象としています。Help Net SecurityとInfosecurity Magazineは、52.5万人を最初の公表の数字とし、PINを別の更新として書いています。約2万人が52.5万人に含まれるかを明記した報道はなく、当サイトでは「分かっていない」としています。
10月26日のシステム停止。Infosecurity Magazineは月曜に新たな攻撃があったと報じました。Help Net Securityは、火曜に同大が、この動きは最初の攻撃に関連するもので新規ではないと述べたと報じています。当サイトは結論を出さず、同大の発表に合わせます。
TV2 Kosmopolは、発表の前日にオーフス大学で侵入未遂があったことも報じています。これは別の件で、この記事では扱いません。
分かっていること・分かっていないこと
2026年10月30日時点の状態です。同大の続報が出たら、この表を書き換えます。
| 項目 | 報じられた内容 | 状態 |
|---|---|---|
| テスト環境へのハッカーの侵入 | 同大の発表として4社が一致して報道 | 確認（同大、報道による） |
| 検知 | 10月20日（火）（2社が日付を記載） | 確認（報道による） |
| データが取得された人数 | 約52.5万人（最初の公表の数字） | 確認（同大、報道による）。正確な範囲は分析中 |
| 氏名、CPR番号 | 取得された | 確認（同大、報道による） |
| 勤務先・私用の電話番号、私用のメールアドレス | 取得された | 確認（同大、報道による） |
| 職員・学生約2万人のIDカードのPIN | 漏れた。新しい番号を発行（10月25日） | 確認（同大、報道による） |
| 約2万人が52.5万人に含まれるか | 記載なし | 調査中 |
| 52.5万人の内訳（学生・職員・元在籍者・その他） | 報道に内訳なし | 記載なし |
| パスワード、銀行の情報、成績・医療情報 | 取得された項目に挙がっていない | 記載なし |
| 日常業務を支えるシステム | 到達した兆候はない（10月23日の発表） | 調査中 |
| 10月26日の停止は新たな攻撃か、最初の攻撃に関連か | 報道が分かれている | 調査中 |
| 侵入の方法 | 報じられていない | 調査中 |
| 犯行主体 | 確認した報道では犯行声明なし | 記載なし |
| データの悪用が確認されているか | 報じられていない | 記載なし |
| 個別に確かめる方法 | 確認した報道には案内なし | 記載なし |
漏れた項目の組み合わせで起きうること
氏名、CPR番号、2種類の電話番号、私用のメールアドレスがそろうと、大学、銀行、公的機関、配送業者などを名乗る本物らしい連絡を作れます。中でも重く見るべきはCPR番号です。デンマークでは本人を識別する番号として広く使われ、自由に変えられないため、悪用の材料として長く残り得ます。デンマークの背景は、別の事案ですが2026年のデンマークCPR登録簿の不正な照会も参照してください。
氏名＋CPR番号＋メール
↓→
氏名とCPR番号を書いた、本物らしい偽の連絡
名前を使った偽の電話・SMS
→ リンクは開かず、自分で調べた窓口で確かめる
↓→
氏名＋電話番号
→ CPR番号・パスワード・PINは教えない。迷惑電話フィルターを使う
読み方：CPR番号が合っているだけでは何の証明にもならない
デンマークではCPR番号の確認を求める手続きが多くあります。漏えいのあとは、CPR番号を正しく読み上げる電話の相手が本人確認になるわけではありません。電話を切り、自分で調べた番号にかけ直してください。
個人データを扱うシステムの運営者へ
報道では、侵入されたのはテスト環境なのに、取得されたデータには実在の人のCPR番号が含まれていました。このため、この節は一般的な論点だけを書きます。この事件の原因は報じられておらず、原因を推測するものではありません。
本番以外に、実在の個人データがあるシステムを洗い出す
テスト・ステージング・開発用のコピーには、手間を省くために実データが入っていることがよくあります。本番以外のどのシステムに実在の個人データがあるかを一覧にし、あるものには本番と同じ管理（アクセス制限、ログ、監視）をかけます。
テスト環境には、架空データか伏せ字にしたデータを使う
本物らしい形が必要なら、架空の記録を生成するか、コピーの前に氏名や国民識別番号をマスクします。テスト環境が侵入されても、出るものは大幅に減ります。
暗証番号を全員分替えるのにどれだけかかるか決めておく
今回、同大は新しいPINを発行する間、物理的な入構を制限したと報じられています。短い番号で出入りを管理しているなら、全員分を入れ替える手順と所要時間を前もって決めておきます。
出典（公開情報）
同大の公式ページは、2026年10月30日に当サイトから接続できませんでした（接続拒否）。上記の事実は、同大の発表を引用した次の報道によります。公表されていない手口や原因は推測しません。
- コペンハーゲン大学、サイバー攻撃のニュースページ（英語。10月30日は当サイトから読めず）— news.ku.dk
- コペンハーゲン大学、ニュースページ（デンマーク語。「更新」と表示。10月30日は当サイトから読めず）— nyheder.ku.dk
- BleepingComputer「University of Copenhagen data breach exposes data of 525,000 people」（2026年10月26日）— bleepingcomputer.com
- Infosecurity Magazineの記事（2026年10月27日）— infosecurity-magazine.com
- Help Net Securityの記事（取得したコピーに日付なし）— helpnetsecurity.com
- TV2 Kosmopolの報道（デンマーク語。取得したコピーに日付なし）— tv2kosmopol.dk
更新履歴
2026-10-30：初版。2026年10月23日と25日の同大の発表を引用した4つの報道に基づく。同日は同大の公式ページを当サイトから読めなかった。確認できたときと、同大が続報を出したときに更新する。
次に読む
- 続いて来る詐欺：フィッシングとは / スマホのセキュリティ基本
- アカウントを守る：多要素認証のガイド
- CPR番号が関わる別のデンマークの事案：デンマークCPR登録簿の不正な照会（約880万人）
- 2026年のほかの事件：情報漏えい・サイバー攻撃の一覧