Universitas Kopenhagen di Denmark mengonfirmasi bahwa peretas masuk ke salah satu lingkungan ujinya dan mengakses data pribadi sekitar 525.000 orang. Pihak kampus mendeteksi serangan itu pada Selasa, 20 Oktober 2026, lalu mengumumkannya pada Jumat, 23 Oktober. Sampai berita ini ditulis, belum ada kelompok yang mengaku bertanggung jawab.
Data yang terambil dan pembaruan soal PIN
Menurut pernyataan resmi universitas, basis data yang diakses memuat nama lengkap, nomor identitas nasional, nomor telepon kantor dan rumah, serta alamat surel pribadi. Universitas masih menganalisis cakupan pastinya, jadi angka 525.000 orang bisa berubah.
Pada 25 Oktober pukul 20.00, universitas memperbarui pernyataannya. PIN kartu identitas sebagian staf dan mahasiswa ikut terkompromi, dan sekitar 20.000 orang sudah menerima PIN baru. Universitas menegaskan hal ini bukan serangan baru. Pengumumannya sengaja ditunda sampai PIN diganti, dengan alasan keamanan. BleepingComputer, yang melaporkan kasus ini pada 26 Oktober, menyebut pembaruan tersebut menambah sekitar 20.000 orang yang PIN-nya terpapar.
Pada malam 23 Oktober, setelah penilaian keamanan, kampus membatasi akses fisik ke sejumlah lokasi penting. Lokasi itu dibuka kembali setelah PIN baru diterbitkan untuk kartu yang terkompromi. Universitas mengatakan akses penyerang ke lingkungan uji sudah diblokir dan tidak ada tanda bahwa sistem operasional harian terjamah atau terganggu.
Universitas menilai insiden ini masuk cakupan GDPR. Pihak kampus sudah melapor ke Otoritas Perlindungan Data Denmark dan mengabari otoritas lain yang relevan. Mereka berjanji memberi informasi tambahan begitu gambaran serangan lebih jelas.
Pelajaran dari data uji yang berisi data nyata
Pernyataan universitas menyebut penyerang masuk lewat lingkungan uji, bukan sistem produksi. Namun lingkungan itu menyimpan data pribadi sungguhan. Sumber yang kami baca tidak menjelaskan cara penyerang masuk, jadi dugaan penyebabnya belum bisa disimpulkan. Fakta yang jelas hanya satu: lingkungan non-produksi yang berisi data nyata terbukti tetap menjadi sasaran.
Langkah yang perlu diambil
Bagi staf dan mahasiswa Universitas Kopenhagen, universitas memperingatkan bahwa data yang terambil menaikkan risiko phishing dan rekayasa sosial. Verifikasi setiap permintaan tak terduga lewat saluran resmi sebelum membalas, terutama yang meminta data pribadi atau kode akses.
Bagi pengelola sistem di Indonesia, termasuk kampus dan instansi, kasus ini patut menjadi alasan memeriksa lingkungan pengembangan dan uji. Pastikan salinan data produksi tidak dipakai untuk pengujian tanpa penyamaran data, batasi akses ke lingkungan itu seketat produksi, dan catat siapa saja yang bisa membukanya. Jika sebuah kampus menerbitkan kartu akses dengan PIN, siapkan juga prosedur penggantian PIN massal sebelum insiden terjadi.
Sumber: BleepingComputer dan pernyataan resmi Universitas Kopenhagen. Gambar: BleepingComputer.