Des informations personnelles associées à environ 850 500 comptes e-mail uniques ont été exposées lors d’une cyberattaque contre les anciens élèves et les systèmes de collecte de fonds de l’université Harvard. L’ampleur de la violation est devenue plus claire après que les données volées ont été analysées et ajoutées au Have I Been Pwned service de notification de la violation.
L’intrusion remonte au 18 novembre 2025, lorsque Harvard a découvert un accès non autorisé aux systèmes gérés par son département des Affaires des anciens élèves et du développement. Les responsables de l’université ont ensuite confirmé que les attaquants avaient pénétré via une attaque de phishing téléphonique, également appelée phishing vocal ou vishing.
Les systèmes compromis contenaient des informations sur les anciens élèves, donateurs, parents d’étudiants actuels et anciens, ainsi que certains membres du corps professoral, employés et étudiants. Les dossiers exposés comprenaient des noms, adresses e-mail, numéros de téléphone, adresses domiciliaires et professionnelles, dates de naissance, historiques de dons et participation aux événements universitaires.
D’autres informations de profil identifiées dans l’ensemble de données divulgué comprenaient des informations sur l’emploi, les profils sur les réseaux sociaux et d’autres informations biographiques recueillies lors des activités d’engagement des anciens élèves et de collecte de fonds de Harvard.
Le groupe cybercriminel ShinyHunters a revendiqué l’intrusion. En février 2026, le groupe a publié un jeu de données contenant apparemment plus d’un million d’enregistrements après que Harvard a refusé de payer une rançon. L’université n’a pas confirmé publiquement la responsabilité du groupe dans l’attaque.
La dernière analyse de Have I Been Pwned a identifié environ 850 500 comptes e-mail uniques dans les informations exposées. Ce chiffre représente des adresses e-mail distinctes plutôt qu’un nombre confirmé de personnes concernées, car la base de données fuitée contenait plusieurs catégories de dossiers personnels.
Harvard avait précédemment déclaré que les systèmes compromis ne stockaient pas les numéros de sécurité sociale, les mots de passe des comptes, les informations de carte de paiement ni les détails financiers. Cependant, les informations de contact exposées et les dossiers de dons pourraient encore être utiles aux criminels tentant de se faire passer pour des représentants universitaires.
Après cette découverte, Harvard a supprimé l’accès des attaquants et a commencé à collaborer avec les forces de l’ordre et des spécialistes externes de la cybersécurité. L’université a également informé les personnes potentiellement affectées en novembre 2025, leur conseillant de surveiller toute communication suspecte prétendant provenir de Harvard.
L’inclusion de l’ensemble de données divulgué dans Have I Been Pwned permet désormais aux individus de vérifier si leur adresse e-mail figure parmi les dossiers compromis. Les résultats du service fournissent une évaluation plus précise de l’exposition près d’un an après l’intrusion initiale.