KU-data kan være lækket efter hackerangreb

Mere end 200.000 personer med tilknytning til Københavns Universitet kan være berørt af et sikkerhedsbrud hos leverandøren bag Absalon.

Det oplyser KU, efter den amerikanske virksomhed Instructure, der står bag undervisningsplatformen Canvas, har bekræftet, at universitetets data er omfattet af et hackerangreb.

Absalon er KU’s eget navn for den digitale undervisningsplatform for undervisere og studerende.

I en kort periode var Absalon lukket ned, efter Instructure natten til fredag 8. maj uden varsel lukkede for systemet. Fredag eftermiddag meddelte KU, at universitetet havde vurderet, at det var forsvarligt at genåbne platformen.

Studerende og undervisere kan derfor igen tilgå kursusmaterialer, beskeder og anden undervisningsinformation i Absalon. Det ændrer dog ikke på, at oplysninger kan være lækket.

Ifølge KU kan kursusinformation fra op mod 160.000 nuværende og tidligere studerende være berørt. I værste fald gælder det også 70.000 nuværende og tidligere undervisere og administratorer.

KU har endnu ikke det fulde overblik over sagen, oplyser KU’s pressechef til Uniavisen, men de relevante enheder arbejder på at afklare, hvor mange nuværende og tidligere studerende og ansatte, der er berørt.

Hackergruppe truer med at lække data

En studerende har sendt Uniavisen et skærmbillede fra Absalon, hvor hackergruppen ShinyHunters hævder at stå bag angrebet mod Instructure.

I beskeden truer gruppen med at offentliggøre data, hvis Instructure ikke kontakter den inden udgangen af 12. maj 2026. Gruppen hævder også, at den har delt en liste over berørte uddannelsesinstitutioner.

Uniavisen har ikke selv kunnet verificere, at ShinyHunters faktisk står bag angrebet. KU oplyser dog, at en hackergruppe har taget ansvar for cyberangrebet, og at Instructure har bekræftet, at Københavns Universitet er berørt.

Ifølge flere medier rummer hackergruppens liste mere end 8.000 uddannelsesinstitutioner i hele verden, der angiveligt er berørt. Det er ikke bekræftet, om alle institutioner på listen faktisk er ramt.

KU oplyser, at op mod 275 millioner brugere frygtes at være påvirket af sikkerhedsbruddet.

Også CBS og Tietgenskolen i Danmark har meldt ud, at de er ramt, fordi de anvender samme system.

Beskeder mellem studerende kan være lækket

Absalon bruges af studerende og undervisere til blandt andet kursusinformation, undervisningsmaterialer og beskeder. Ifølge KU kan sikkerhedsbruddet omfatte navne, KU-mailadresser, oplysninger om faglig tilknytning, kursusinformation og beskeder sendt i Absalon.

Jeg har stor forståelse for, at situationen skaber bekymring og frustration blandt studerende og ansatte

Kristian C. Lauta, prorektor for uddannelse på KU

Det gælder både beskeder mellem studerende og undervisere og beskeder studerende imellem.

KU oplyser på sin hjemmeside, at der ikke har været adgang til CPR-numre, fordi de ikke opbevares i Absalon. Der har heller ikke været adgang til adgangskoder eller navne- og adressebeskyttede oplysninger, skriver universitetet.

Personer med navne- og adressebeskyttelse bliver i Absalon ifølge KU erstattet af KU-brugernavn eller eventuelt et alias.

KU advarede Datatilsynet 5. maj

Københavns Universitet underrettede Datatilsynet om sikkerhedsbruddet 5. maj.

Universitetet skriver, at det nu arbejder på at afklare, hvor mange nuværende og tidligere studerende og ansatte der er berørt, og hvilke oplysninger der konkret kan være kompromitteret.

»Jeg har stor forståelse for, at situationen skaber bekymring og frustration blandt studerende og ansatte,« siger prorektor for uddannelse Kristian C. Lauta i KU’s udmelding.

Indtil Instructure lukkede systemet ned, havde meldingen fra leverandøren ifølge KU været, at der var kontrol over situationen.

Vær obs på denne type links i mails

KU advarer nuværende og tidligere studerende og ansatte om, at lækkede oplysninger kan blive brugt til phishing.

Det betyder, at falske mails eller sms’er kan blive mere troværdige, fordi afsenderen kan kende modtagerens navn, KU-mailadresse eller tilknytning til bestemte kurser eller undervisere.

Målet med den slags beskeder kan ifølge KU være at få adgang til oplysninger som adgangskoder eller information om betalingskort.

Universitetet anbefaler derfor, at studerende og ansatte ikke klikker på links i mails, sms’er eller i Absalon, hvis noget virker mistænkeligt eller afviger fra det normale. Hvis man modtager en mistænkelig besked, bør man kontakte afsenderen via en anden kanal for at få bekræftet, at beskeden er ægte.

Det er eksamenstid på Københavns Universitet. Derfor vil det nok betrygge mange studerende at høre, at ledelsen nu melder ud, at Absalon igen kan bruges som normalt, men samtidig understreger, at man ikke bør dele eller uploade følsomme eller fortrolige personoplysninger på platformen.