周五晚上，Københavns Universitet（哥本哈根大学，简称KU）发了一份新闻稿：黑客拿到了大约52.5万人的个人信息，包括全名、CPR号、工作电话、私人手机号和私人邮箱。
据DR报道，受影响的是KU的在职和离职员工，以及在读和已毕业的学生。
这个范围很大。在KU读过书的中国留学生、做过博后的研究人员、交换过一学期的学生，甚至几年前就已回国的校友，都可能在这份名单里。
这次泄露了什么，没泄露什么
按KU的说法，攻击在周二被发现，之后已经控制住，学校还在分析具体影响了多少人。事件已上报Datatilsynet（丹麦数据保护局），并通知了负责社会安全和高等教育的相关部门。
挪威Aftenposten援引KU的说法称，黑客进的是学校的一个测试环境，目前没有迹象表明他们碰到了支撑日常运转的系统。
目前公布的泄露字段里没有密码，也没有银行信息。但"名字＋CPR号＋私人手机＋私人邮箱"这一组放在一起，用来行骗刚好够用。
为什么说这组信息很危险
单有CPR号，登不了网银，也登不了borger.dk，这些都要过MitID这一关。真正的风险在别处：骗子能准确叫出你的全名、报出你的CPR号，再打电话或发短信到你的私人号码上。
在丹麦，CPR号几乎是"身份本身"。很多人默认，对方能说出我的CPR号，就一定是银行、Skattestyrelsen（税务局）或者学校的人。骗子靠的就是这个心理。
CPR号的前六位本来就是出生日期，所以它从来不是什么秘密，只是我们习惯把它当成密码。这次泄露之后，这个习惯该改了。
这个月已经是第几起了
KU不是孤例。10月2日，DTU（丹麦技术大学）通报用户数据库被入侵，最多约20万在校和已离校用户可能受影响，部分人的CPR号可能在内。KU公告的前一天，Aarhus Universitet也通报遭到攻击：一名黑客试图修改约1700名师生的密码，但被及时发现，校方称没有迹象显示敏感数据外泄。
更大的一起是10月初曝光的CPR登记系统事件：有人利用一家私营公司的合法查询权限，拿到了约880万人的姓名、地址和CPR号，这个数字包含在世、已移出丹麦和已去世的人。据TV 2等媒体报道，攻击者用的是这家公司一名员工的账户，密码竟然是"123456"，而且这个密码早在之前的泄露里出现过。主管部长Christina Egelund表示正和各相关部门一起查清事件全貌，部里随后给1039家有CPR查询权限的企业发信，要求收紧安全规定。
今年5月，KU的学习平台Absalon也因为供应商Canvas被攻破而出过事，当时约16万学生和约7万员工的姓名、KU邮箱和站内消息受到影响，CPR号和密码不在其中。
老实说，把这几起放在一起看，我的判断是：住在丹麦的人，最好默认自己的CPR号早就不是秘密了。关键不在号码有没有泄露，在于你接到一个"知道你CPR号"的电话时，还会不会信。
我建议现在就做的几件事
第一，打开MitID，看看活动记录。在mitid.dk登录后能查到MitID最近被用在了哪里，有没有你不认识的登录或授权。
第二，考虑在borger.dk给自己的CPR加一个kreditadvarsel（信用警示）。加上之后，企业在用你的名义放贷或给信用额度前会被提示多核实身份。这项服务是自愿的，年满15岁就能自己用MitID办，也可以预约去borgerservice办。要注意，加了以后自己贷款也会变麻烦，准备买房、买车或申请信用卡之前可以先撤掉，办完再加回来。
第三，对任何主动找上门、还报得出你个人信息的电话、短信和邮件都多一份警惕。银行和政府机构都不会让你在电话里报MitID验证码，也不会让你在陌生链接里登录。
第四，如果你已经回国或去了别的国家，留在KU系统里的私人手机和邮箱可能还是你现在在用的。海外华人本来就常遇到冒充使领馆、快递、公安的诈骗电话，这次再加上准确的丹麦身份信息，说法会更像真的。
拿不准的时候，可以打丹麦的Cyberhotline 33 37 00 37，或者上sikkerdigital.dk查官方指引。具体怎么处理还要看你自己的情况，如果已经发现被冒用，应尽快报警，并联系自己的银行。
KU还没说清的事
到周五晚上为止，KU还没说清这52.5万人具体是哪些人、数据覆盖多少年、会不会逐个通知受影响的人。DTU那次的数据最早可以追溯到2003年，KU这次的时间跨度也值得关注。
如果你在KU读过书或工作过，近期留意一下学校的通知邮件，也留意有没有冒充学校的假邮件。身边有KU校友、老同事，尤其是已经离开丹麦、平时不关注丹麦新闻的朋友，可以把这篇转给他们看看。
评论
发表评论