Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración del directorio de identidades de DTU y la descarga de registros.

Síntesis y análisis propios a partir de la cobertura de BleepingComputer; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

Según BleepingComputer, DTU comunicó que un atacante empleó credenciales comprometidas para entrar en DTUBasen, su sistema de gestión de identidades y accesos, y descargó una gran cantidad de datos.

DTU no ha podido determinar con precisión qué información salió del sistema ni el número exacto de afectados, según la cobertura.

La base contiene información de cerca de 40.000 usuarios activos y unos 160.000 antiguos usuarios; esas cifras describen el universo potencial y no una extracción confirmada de todos los registros.

Para usuarios actuales, los datos potencialmente expuestos incluyen el número de registro civil danés, nombre, domicilio, foto de perfil e información laboral.

Cuando un usuario activo había facilitado un contacto de emergencia, el conjunto también contenía el nombre, parentesco y teléfono de esa persona.

DTU señala que borra automáticamente a los seis meses los domicilios, fotos y datos de familiares de antiguos usuarios.

La universidad notificará a personas potencialmente afectadas mediante e-Boks y publicó un aviso para quienes no pueda contactar directamente.

Análisis de Defensops

El punto de entrada descrito es una cuenta comprometida en un sistema central de identidades. Eso convierte la revisión de accesos, permisos y descargas en la vía principal para acotar el incidente; la fuente no atribuye el acceso a una vulnerabilidad de software ni identifica cómo se obtuvieron las credenciales. El alcance técnico dependerá de los privilegios de esa cuenta y de los registros que permitan reconstruir su actividad.

La diferencia entre usuarios almacenados y personas efectivamente afectadas importa para comunicar el riesgo. Los 200.000 registros aproximados no equivalen a 200.000 expedientes descargados. Además, la composición de los datos varía entre usuarios actuales y antiguos por las reglas de conservación descritas por DTU, de modo que las medidas para cada persona deberán basarse en la información realmente comprometida cuando se confirme.

Los números CPR y datos de contacto podrían facilitar suplantaciones o mensajes persuasivos que aparenten proceder de DTU. Es un riesgo posterior al acceso, no una campaña de fraude confirmada en la cobertura. Para otras organizaciones, el caso muestra la necesidad de que un repositorio IAM tenga trazabilidad de exportaciones y un proceso de aviso que alcance también a personas que ya no mantienen relación activa.

Prioridades de revisión

Para DTU, invalidar las credenciales comprometidas, revisar sesiones y accesos asociados, y comprobar si hubo otras cuentas usadas de forma anómala antes de restaurar el acceso normal.

Preservar y analizar los registros de DTUBasen para delimitar consultas, exportaciones, periodos de acceso y categorías de datos descargados; comunicar expresamente qué conclusiones siguen sin confirmarse.

Priorizar la notificación verificable a quienes puedan tener números CPR o datos de contacto de familiares expuestos, distinguiendo entre usuarios actuales, antiguos y terceros registrados.

Para quienes hayan recibido aviso, comprobar las comunicaciones en el canal oficial de DTU, desconfiar de solicitudes inesperadas de contraseñas o aprobaciones de inicio de sesión y cambiar contraseñas reutilizadas en otros servicios.

En otras organizaciones, auditar qué cuentas pueden exportar datos del IAM y si cada descarga masiva queda registrada y genera una revisión oportuna.

Qué no se ha confirmado

DTU aún no ha identificado con precisión los datos descargados ni el número real de personas afectadas.

La cobertura no aclara cómo obtuvo el atacante las credenciales ni qué privilegios tenía la cuenta utilizada.

No se ha confirmado en la fuente un uso posterior de los datos para fraude o phishing.

Fuente

BleepingComputer. Fecha indicada: 2026-10-03.