Vad attackerna mot danska universitet betyder för din verksamhet

Olav Helland

6 november 2026

Pixel illustration of two figures on a staircase, one gray at the bottom and one green at the top, showing a guest account climbing to admin rights.

Den 15 september tog en angripare över ett gästkonto vid Danmarks Tekniska Universitet (DTU). Kontot hade inga generella behörigheter. Tre dagar senare hade samma angripare utökade adminbehörigheter i DTUBasen, DTU:s eget IAM-system. Det räckte för att ta sig förbi DTU:s larm.

Vi vet det här eftersom DTU har publicerat en detaljerad tidslinje. Så stor öppenhet är ovanlig, och den ger alla andra organisationer en chans att lära sig av det som hände. Inom några veckor rapporterade även Köpenhamns universitet och Aarhus universitet egna attacker. I Köpenhamn utnyttjade en angripare ett konfigurationsfel och tog sig in i en testmiljö med uppgifter om cirka 525 000 personer. I Aarhus försökte en angripare byta lösenord för cirka 1 700 användare, utan att lyckas. Inget samband mellan de tre har dokumenterats.

Danmark är inte ensamt. Sedan slutet av 2025 har både Harvard och Instructure, företaget bakom lärplattformen Canvas, rapporterat intrång där vägen in var en person eller ett konto. På Harvard började det med phishing via telefon. Hos Instructure använde angriparen ett gratis lärarkonto för att utnyttja brister i plattformen.

Varför blir cyberattacker lättare att genomföra?

Förr krävdes ett skickligt team och gott om tid för att hitta en bortglömd dörr. AI håller på att ändra på det. I november 2025 offentliggjorde Anthropic en spionagekampanj mot ett trettiotal mål där AI stod för 80 till 90 procent av jobbet. Vi har inte hittat någon publicerad rapport om att AI användes mot de danska universiteten. Ändå är trenden tydlig, för det blir billigare att försöka för varje år.

Varje läcka gör dessutom nästa attack lättare. I oktober meddelade Danmarks ministerium för forskning, högre utbildning och digitalisering att någon hade missbrukat ett privat företags legitima åtkomst till CPR-registret, Danmarks motsvarighet till folkbokföringen. Det gällde namn, adresser och CPR-nummer, alltså danska personnummer, för cirka 8,8 miljoner registrerade personer, inklusive utvandrade och avlidna. Danska medier rapporterade senare att programmet bakom var byggt med AI. Med sådana uppgifter blir ett phishingmejl eller ett samtal betydligt mer trovärdigt. DTU varnar nu sina användare för meddelanden och samtal som verkar veta att de har en koppling till DTU.

Inget av detta är ett skäl att få panik. Det är ett skäl att sluta se säkerhet som något som händer andra, och att jobba medvetet med motståndskraft.

Varför är universitet så utsatta?

Universitet är byggda för att vara öppna, och därför samlar de på konton som inte längre borde fungera. En före detta student som fortfarande kan logga in. En gästforskare som slutade för två år sedan. En adminroll som någon behövde en gång. Ett tjänstekonto som sattes upp för en integration för flera år sedan. Och nu AI-agenter, som sätts upp på några minuter, ofta utan en tydlig ägare.

Tusentals människor kommer och går varje termin, och gäster, partner och forskningsprojekt kommer in var och en på sin väg. HR, fakulteter, forskargrupper och IT äger var sin del, och luckorna uppstår vid överlämningarna. DTUBasen innehöll uppgifter om cirka 160 000 tidigare användare bredvid 40 000 aktiva. Det är fyra tidigare användare för varje aktiv.

Alla organisationer har någon variant av det här. Molntjänster och AI skapar identiteter snabbare än något team hinner hålla koll på manuellt, och i de miljöer vi har sett samlas gamla identiteter på hög. Frågan för varje chef är hur stort glappet är hos er, och om ni kan se det.

Varför MFA ensamt inte stänger dörren

De flesta chefer hör ”vi har MFA” och slappnar av. DTU:s tidslinje visar varför det inte är hela svaret. Längs vägen kom angriparen över lösenordet till en ny gäststudent och satte sedan upp MFA på kontot själv. Från den stunden var det angriparen som ägde den andra faktorn.

MFA skyddar ett konto bara om du har koll på vem som kan registrera en ny inloggningsmetod. Om alla med ett lösenord kan registrera MFA, blir ett stulet lösenord ett konto som angriparen äger helt.

Hur kan universitet minska risken?

Krymp attackytan, med färre dörrar för en angripare att pröva och mindre bakom varje dörr. Du kan inte stoppa alla försök. DTU:s angripare utnyttjade också sårbarheter i DTUBasen, och god identitetshygien hade inte ensam täppt till dem. Det bra identitetskontroll gör är att begränsa hur långt ett stulet konto kommer. Fyra åtgärder gör störst skillnad.

Stäng dörrarna som ingen använder. Konton som tillhör personer som har slutat är lätta att missbruka och upptäcks sällan. Alla konton som inte har loggat in på en viss tid ska få ett beslut: inaktivera, radera eller behåll med en skriftlig motivering.
Ta bort behörigheter som ingen behöver. Adminbehörigheter som ingen använder ger ingenting i vardagen och allt till en angripare. På DTU räckte utökade adminbehörigheter för att ta sig förbi larmen. Ta bort rollerna som ingen använder, och ge resten just-in-time, bara när de behövs.
Bestäm vem som kan registrera MFA. Det ska kräva mer än ett lösenord att registrera MFA, till exempel att användaren sitter på ett betrott nätverk eller har fått en tidsbegränsad kod från IT.
Ge varje identitet en ägare och ett slutdatum. Det gäller även gäster, partner och AI-agenter. Fakulteter och forskargrupper ansvarar för sina egna gäster, eftersom IT inte kan bära det ensamt. Om ingen äger en identitet märker ingen när den missbrukas.

Ingen av de här idéerna är ny. Utmaningen är att hålla dem vid liv vecka efter vecka, när folk kommer och går och nya verktyg tas i bruk.

Om det redan har hänt

De tekniska stegen är IT:s ansvar, och du hittar dem i rutan längst ner. Några beslut ligger hos ledningen, och de går snabbare om de är fattade i förväg.

Vem kan besluta om lösenordsbyte för alla? DTU tvingade cirka 30 000 aktiva användare att byta lösenord inom en viss tid. Någon måste äga det beslutet.
Når ni dem som berörs? När DTU behövde varna folk kunde universitetet inte nå alla direkt. Det saknade CPR-nummer för en del studenter och anställda, till exempel internationella, och hade dem bara för ett fåtal gäster och partner. En ägare eller sponsor för varje gäst är också det som gör att du når dem i en kris.
Vem kallar in hjälp? Kom överens i förväg om vem som tar in hjälp utifrån, till exempel nationell CERT, sektorns CERT eller er incident response-partner.

Hur håller ni det här under kontroll över tid?

Bsure ger dig en uppdaterad bild av identiteterna i Microsoft Entra ID. Du ser konton som fortfarande kan logga in men inte har gjort det på flera månader, permanenta adminbehörigheter, gäster utan sponsor och agenter utan ägare. Teamet jobbar utifrån fakta i stället för gissningar, och du ser glappet krympa över tid. Bsure är read-only. Bsure visar vad som behöver åtgärdas, och ni gör ändringarna själva.

Ett bra sätt att börja är vår kostnadsfria hälsokoll, Bsure Identity Health Check. Den körs i webbläsaren, och datan från er tenant stannar där om du inte själv väljer att skicka en sammanfattning till oss. De 18 kontrollerna tittar bland annat på inaktiva användare som fortfarande kan logga in, permanent privilegierad åtkomst, gäster utan sponsor och om registreringen av MFA-metoder är skyddad.

Gör en kostnadsfri hälsokoll av er tenant eller boka en demo.

Till IT-teamet

De första 48 timmarna. Stegen gäller oavsett identitetsplattform, med egna kommentarer för Microsoft Entra ID.

Inaktivera kontona och logga ut dem. Inaktivera de berörda kontona och använd ”Revoke sessions” för att logga ut dem överallt. I Entra är befintliga access tokens giltiga tills de går ut, oftast efter 60 till 90 minuter, om inte appen stöder Continuous Access Evaluation.
Kolla vilka MFA-metoder som registrerades medan attacken pågick. En MFA-metod som angriparen har registrerat själv överlever ett lösenordsbyte.
Kolla nya adminroller, nya gästanvändare och nya app consents från samma period. Alla kan ge angriparen en väg tillbaka in.
Tvinga fram lösenordsbyte för alla om ni inte kan utesluta att fler är drabbade.
Varna användarna för att mer phishing kan komma, och säg tydligt vad ni aldrig kommer att be dem om.
Kontakta CERT för er sektor.

Hur de fyra åtgärderna fungerar i Microsoft Entra ID hittar du via Microsoft Learn-länkarna under Resurser.

FAQ

Vad hände vid cyberattackerna mot danska universitet 2026?

Tre danska universitet drabbades av cyberattacker inom några veckor hösten 2026. Vid Danmarks Tekniska Universitet (DTU) gick en angripare från ett gästkonto till utökade adminbehörigheter i DTU:s eget IAM-system på tre dagar. Vid Köpenhamns universitet utnyttjade en angripare ett konfigurationsfel och tog sig in i en testmiljö med uppgifter om cirka 525 000 personer. Vid Aarhus universitet försökte en angripare byta lösenord för cirka 1 700 användare, utan att lyckas.

Varför är universitet så utsatta för identitetsattacker?

Universitet är byggda för att vara öppna, och tusentals människor kommer och går varje termin. Konton som tillhör före detta studenter, gästforskare, gäster och gamla integrationer fungerar ofta längt efter att någon behöver dem. DTU:s IAM-system innehöll uppgifter om cirka 160 000 tidigare användare bredvid 40 000 aktiva.

Stoppar MFA en attack som den mot DTU?

MFA skyddar ett konto bara om du har koll på vem som kan registrera en ny inloggningsmetod. På DTU kom angriparen över lösenordet till en ny gäststudent och satte sedan upp MFA på kontot själv. Därmed var det angriparen som ägde den andra faktorn. Det ska kräva mer än ett lösenord att registrera MFA, till exempel att användaren sitter på ett betrott nätverk eller har fått en tidsbegränsad kod från IT.

Hur kan en organisation krympa attackytan kring identiteter?

Fyra åtgärder gör störst skillnad. Inaktivera eller radera konton som inte har loggat in på en viss tid, ta bort adminbehörigheter som ingen använder, bestäm vem som kan registrera MFA, och ge varje identitet en ägare och ett slutdatum, även gäster och AI-agenter. Du kan inte stoppa alla försök, men de här åtgärderna begränsar hur långt ett stulet konto kommer.

Vad ska IT göra de första 48 timmarna efter en identitetsattack?

Inaktivera de berörda kontona och använd ”Revoke sessions” för att logga ut dem överallt. Kolla MFA-metoder, adminroller, gästanvändare och app consents som lades till medan attacken pågick, eftersom alla kan ge angriparen en väg tillbaka in. Tvinga fram lösenordsbyte för alla om ni inte kan utesluta att fler är drabbade, varna användarna för att mer phishing kan komma och kontakta CERT för er sektor.

Hur kollar jag min Microsoft Entra ID-tenant efter de här riskerna?

Vår kostnadsfria hälsokoll, Bsure Identity Health Check, kör 18 kontroller på din Microsoft Entra ID-tenant. Den tittar bland annat på inaktiva användare som fortfarande kan logga in, permanent privilegierad åtkomst, gäster utan sponsor och om registreringen av MFA-metoder är skyddad. Den körs i webbläsaren, och datan från er tenant stannar där om du inte själv väljer att skicka en sammanfattning till oss.