La información personal asociada a aproximadamente 850.500 cuentas de correo electrónico únicas fue expuesta en un ciberataque contra los sistemas de antiguos alumnos y recaudación de fondos de la Universidad de Harvard. La magnitud de la brecha se ha hecho más evidente tras analizar los datos robados y añadirlos al Have I Been Pwned servicio de notificación de brechas.
La intrusión data del 18 de noviembre de 2025, cuando Harvard descubrió acceso no autorizado a sistemas gestionados por su departamento de Asuntos y Desarrollo de Antiguos Alumnos. Posteriormente, los responsables de la universidad confirmaron que los atacantes habían accedido mediante un ataque de phishing telefónico, también conocido como phishing por voz o vishing.
Los sistemas comprometidos contenían información sobre antiguos alumnos, donantes, padres de estudiantes actuales y antiguos, así como algunos miembros del profesorado, empleados y estudiantes. Los registros expuestos incluían nombres, direcciones de correo electrónico, números de teléfono, domicilios y empresas, fechas de nacimiento, historiales de donaciones y asistencia a eventos universitarios.
La información adicional de perfiles identificada en el conjunto de datos filtrado incluía detalles de empleo, perfiles en redes sociales y otra información biográfica recopilada a través de las actividades de participación y recaudación de fondos de antiguos alumnos de Harvard.
El grupo cibercriminal ShinyHunters se atribuyó la autoría de la intrusión. En febrero de 2026, el grupo publicó un conjunto de datos que supuestamente contenía más de un millón de registros tras la negativa de Harvard a pagar un rescate. La universidad no ha confirmado públicamente la responsabilidad del grupo en el ataque.
El último análisis de Have I Been Pwned identificó aproximadamente 850.500 cuentas de correo electrónico únicas dentro de la información expuesta. Esta cifra representa direcciones de correo electrónico distintas en lugar de un recuento confirmado de personas afectadas, ya que la base de datos filtrada contenía múltiples categorías de registros personales.
Harvard afirmó previamente que los sistemas comprometidos no almacenaban números de la Seguridad Social, contraseñas de cuenta, información de tarjetas de pago ni datos financieros. Sin embargo, la información de contacto expuesta y los registros de donaciones podrían seguir siendo útiles para los delincuentes que intenten hacerse pasar por representantes universitarios.
Tras el descubrimiento, Harvard eliminó el acceso a los atacantes y comenzó a colaborar con las fuerzas del orden y especialistas externos en ciberseguridad. La universidad también notificó a las personas potencialmente afectadas en noviembre de 2025, aconsejándoles que vigilaran comunicaciones sospechosas que afirmaran originarse en Harvard.
La inclusión del conjunto de datos filtrado en Have I Been Pwned permite ahora a las personas comprobar si sus direcciones de correo electrónico aparecen entre los registros comprometidos. Los hallazgos del servicio proporcionan una evaluación más precisa de la exposición casi un año después de la intrusión original.