Hva angrepene mot danske universiteter betyr for din virksomhet

Olav Helland

6. november 2026

Pixel illustration of two figures on a staircase, one gray at the bottom and one green at the top, showing a guest account climbing to admin rights.

Den 15. september tok en angriper over en gjestekonto ved Danmarks Tekniske Universitet (DTU). Kontoen hadde ingen generelle rettigheter. Tre dager senere hadde den samme angriperen utvidede admin-rettigheter i DTUBasen, DTUs eget IAM-system. Det var nok til å komme forbi DTUs alarmer.

Vi vet dette fordi DTU har publisert en detaljert tidslinje. Så stor åpenhet er sjelden, og den gir alle andre virksomheter en sjanse til å lære av det som skjedde. I løpet av få uker meldte også Københavns Universitet og Aarhus Universitet om angrep. I København utnyttet en angriper en konfigurasjonsfeil og kom seg inn i et testmiljø med data om rundt 525 000 personer. I Aarhus prøvde en angriper å endre passordet til rundt 1 700 brukere, uten å lykkes. Det er ikke dokumentert noen sammenheng mellom de tre.

Danmark er ikke alene. Siden slutten av 2025 har både Harvard og Instructure, selskapet bak læringsplattformen Canvas, meldt om innbrudd der veien inn var en person eller en konto. Hos Harvard startet det med phishing over telefon. Hos Instructure brukte angriperen en gratis lærerkonto til å utnytte svakheter i plattformen.

Hvorfor blir dataangrep enklere å gjennomføre?

Før krevde det et dyktig team og god tid å finne en glemt dør. AI endrer på det. I november 2025 offentliggjorde Anthropic en spionasjekampanje mot rundt 30 mål der AI gjorde 80 til 90 prosent av jobben. Vi har ikke funnet noen publisert rapport som sier at AI ble brukt mot de danske universitetene. Likevel er trenden tydelig, for det blir billigere å prøve for hvert år.

Hver lekkasje gjør dessuten neste angrep enklere. I oktober opplyste det danske departementet for forskning, høyere utdanning og digitalisering at noen hadde misbrukt et privat selskaps legitime tilgang til CPR-registeret, Danmarks folkeregister. Det gjaldt navn, adresser og CPR-numre, altså danske personnumre, for rundt 8,8 millioner registrerte personer, inkludert utvandrede og døde. Danske medier meldte senere at programmet bak var laget med AI. Med slike opplysninger blir en phishing-mail eller en telefon langt mer troverdig. DTU advarer nå brukerne sine mot meldinger og samtaler som ser ut til å vite at de har en tilknytning til DTU.

Ingenting av dette er grunn til panikk. Det er en grunn til å slutte å tenke på sikkerhet som noe som skjer med andre, og til å jobbe bevisst med motstandskraft.

Hvorfor er universiteter så utsatt?

Universiteter er bygd for å være åpne, og derfor samler de på kontoer som ikke lenger burde virke. En tidligere student som fortsatt kan logge inn. En gjesteforsker som dro for to år siden. En admin-rolle noen trengte én gang. En servicekonto som ble satt opp for en integrasjon for mange år siden. Og nå AI-agenter, som settes opp på minutter, ofte uten en tydelig eier.

Tusenvis av mennesker kommer og går hvert semester, og gjester, partnere og forskningsprosjekter kommer inn hver sin vei. HR, fakulteter, forskningsgrupper og IT eier hver sin bit, og hullene oppstår i overleveringene. DTUBasen hadde data om rundt 160 000 tidligere brukere ved siden av 40 000 aktive. Det er fire tidligere brukere for hver aktive.

Alle virksomheter har en variant av dette. Skytjenester og AI lager identiteter raskere enn noe team klarer å holde oversikt over manuelt, og i miljøene vi har sett, hoper gamle identiteter seg opp. Spørsmålet for enhver leder er hvor stort gapet er hos dere, og om dere kan se det.

Hvorfor MFA alene ikke stenger døren

De fleste ledere hører «vi har MFA» og slapper av. DTUs tidslinje viser hvorfor det ikke er hele svaret. Underveis fikk angriperen tak i passordet til en ny gjestestudent og satte så opp MFA på kontoen selv. Fra da av var det angriperen som eide den andre faktoren.

MFA beskytter en konto bare hvis du har kontroll på hvem som kan registrere en ny påloggingsmetode. Hvis alle med et passord kan registrere MFA, blir et stjålet passord en konto angriperen eier fullt ut.

Hvordan kan universiteter redusere risikoen?

Gjør angrepsflaten mindre, med færre dører en angriper kan prøve og mindre bak hver av dem. Du kan ikke stoppe alle forsøk. DTUs angriper utnyttet også sårbarheter i DTUBasen, og god identitetshygiene alene ville ikke ha tettet dem. Det god identitetskontroll gjør, er å begrense hvor langt en stjålet konto kommer. Fire grep gjør størst forskjell.

Lukk dørene ingen bruker. Kontoer som tilhører folk som har sluttet, er lette å misbruke og blir sjelden oppdaget. Alle kontoer som ikke har logget inn på en bestemt tid, skal ha en beslutning: deaktiver, slett, eller behold med en skriftlig begrunnelse.
Fjern tilganger ingen trenger. Admin-rettigheter som ingen bruker, gir ingenting i hverdagen og alt til en angriper. Hos DTU var utvidede admin-rettigheter nok til å komme forbi alarmene. Fjern rollene ingen bruker, og gi resten just-in-time, bare når de trengs.
Bestem hvem som kan registrere MFA. Det bør kreve mer enn et passord å registrere MFA, for eksempel at brukeren sitter på et betrodd nettverk eller har fått en tidsbegrenset kode fra IT.
Gi hver identitet en eier og en sluttdato. Det gjelder også gjester, partnere og AI-agenter. Fakulteter og forskningsgrupper har ansvaret for sine egne gjester, fordi IT ikke kan bære det alene. Hvis ingen eier identiteten, merker ingen det når den blir misbrukt.

Ingen av disse ideene er nye. Utfordringen er å holde dem ved like hver uke, mens folk kommer og går og nye verktøy tas i bruk.

Hvis det allerede har skjedd

De tekniske stegene er IT sitt ansvar, og du finner dem i boksen nederst. Noen beslutninger ligger hos ledelsen, og de går raskere hvis de er tatt på forhånd.

Hvem kan beslutte passordbytte for alle? DTU påla rundt 30 000 aktive brukere å bytte passord innen en frist. Noen må eie den beslutningen.
Får dere tak i dem det gjelder? Da DTU skulle varsle folk, nådde de ikke alle direkte. De manglet CPR-nummer for en del studenter og ansatte, for eksempel internasjonale, og hadde det bare for noen få gjester og partnere. En eier eller sponsor for hver gjest er også det som gjør at du når dem i en krise.
Hvem tilkaller hjelp? Avtal på forhånd hvem som henter inn hjelp utenfra, for eksempel nasjonal CERT, sektor-CERT eller incident response-partneren deres.

Hvordan holder du dette under kontroll over tid?

Bsure gir deg en oppdatert oversikt over identitetene i Microsoft Entra ID. Du ser kontoer som fortsatt kan logge inn, men som ikke har gjort det på flere måneder, permanente admin-rettigheter, gjester uten sponsor og agenter uten eier. Teamet jobber ut fra fakta i stedet for antakelser, og du ser gapet krympe over tid. Bsure er read-only. Bsure viser hva som bør fikses, og dere gjør endringene selv.

Et godt sted å starte er den gratis helsesjekken vår, Bsure Identity Health Check. Den kjører i nettleseren, og dataene fra tenanten blir værende der med mindre du selv velger å sende oss et sammendrag. De 18 sjekkene ser blant annet på inaktive brukere som fortsatt kan logge inn, permanent privilegert tilgang, gjester uten sponsor og om registrering av MFA-metoder er beskyttet.

Ta en gratis helsesjekk av tenanten din eller book en demo.

Til IT-teamet

De første 48 timene. Stegene gjelder uansett identitetsplattform, med egne notater for Microsoft Entra ID.

Deaktiver kontoene og logg dem ut. Deaktiver de berørte kontoene og bruk «Revoke sessions» for å logge dem ut overalt. I Entra er eksisterende access tokens gyldige til de utløper, vanligvis etter 60 til 90 minutter, med mindre appen støtter Continuous Access Evaluation.
Sjekk hvilke MFA-metoder som ble registrert mens angrepet pågikk. En MFA-metode angriperen har registrert selv, overlever et passordbytte.
Sjekk nye admin-roller, nye gjestebrukere og nye app consents fra samme periode. Alle kan gi angriperen en vei inn igjen.
Tving passordbytte for alle hvis dere ikke kan utelukke at flere er rammet.
Varsle brukerne om at det kan komme mer phishing, og si tydelig hva dere aldri kommer til å be dem om.
Ta kontakt med CERT-et for sektoren deres.

Hvordan de fire grepene fungerer i Microsoft Entra ID, finner du i Microsoft Learn-lenkene under Ressurser.

FAQ

Hva skjedde i dataangrepene mot danske universiteter i 2026?

Tre danske universiteter ble rammet av dataangrep med få ukers mellomrom høsten 2026. Ved Danmarks Tekniske Universitet (DTU) gikk en angriper fra en gjestekonto til utvidede admin-rettigheter i DTUs eget IAM-system på tre dager. Ved Københavns Universitet utnyttet en angriper en konfigurasjonsfeil og kom seg inn i et testmiljø med data om rundt 525 000 personer. Ved Aarhus Universitet prøvde en angriper å endre passordet til rundt 1 700 brukere, uten å lykkes.

Hvorfor er universiteter så utsatt for identitetsangrep?

Universiteter er bygd for å være åpne, og tusenvis av mennesker kommer og går hvert semester. Kontoer som tilhører tidligere studenter, gjesteforskere, gjester og gamle integrasjoner, fungerer ofte lenge etter at noen trenger dem. DTUs IAM-system hadde data om rundt 160 000 tidligere brukere ved siden av 40 000 aktive.

Stopper MFA et angrep som det DTU ble utsatt for?

MFA beskytter en konto bare hvis du har kontroll på hvem som kan registrere en ny påloggingsmetode. Hos DTU fikk angriperen tak i passordet til en ny gjestestudent og satte så opp MFA på kontoen selv. Dermed var det angriperen som eide den andre faktoren. Det bør kreve mer enn et passord å registrere MFA, for eksempel at brukeren sitter på et betrodd nettverk eller har fått en tidsbegrenset kode fra IT.

Hvordan kan en virksomhet redusere angrepsflaten rundt identiteter?

Fire grep gjør størst forskjell. Deaktiver eller slett kontoer som ikke har logget inn på en bestemt tid, fjern admin-rettigheter ingen bruker, bestem hvem som kan registrere MFA, og gi hver identitet en eier og en sluttdato, også gjester og AI-agenter. Du kan ikke stoppe alle forsøk, men disse grepene begrenser hvor langt en stjålet konto kommer.

Hva bør IT gjøre de første 48 timene etter et identitetsangrep?

Deaktiver de berørte kontoene og bruk «Revoke sessions» for å logge dem ut overalt. Sjekk MFA-metoder, admin-roller, gjestebrukere og app consents som ble lagt til mens angrepet pågikk, fordi alle kan gi angriperen en vei inn igjen. Tving passordbytte for alle hvis dere ikke kan utelukke at flere er rammet, varsle brukerne om at det kan komme mer phishing, og ta kontakt med CERT-et for sektoren deres.

Hvordan sjekker jeg Microsoft Entra ID-tenanten min for disse risikoene?

Den gratis helsesjekken vår, Bsure Identity Health Check, kjører 18 sjekker på Microsoft Entra ID-tenanten din. Den ser blant annet på inaktive brukere som fortsatt kan logge inn, permanent privilegert tilgang, gjester uten sponsor og om registrering av MFA-metoder er beskyttet. Den kjører i nettleseren, og dataene fra tenanten blir værende der med mindre du selv velger å sende oss et sammendrag.