Informazioni personali associate a circa 850.500 account email unici sono state esposte in un attacco informatico contro i sistemi per laureati e raccolta fondi dell’Università di Harvard. La portata della violazione è diventata più chiara dopo che i dati rubati sono stati analizzati e aggiunti al Have I Been Pwned servizio di notifica delle violazioni.
L’intrusione risale al 18 novembre 2025, quando Harvard scoprì un accesso non autorizzato a sistemi gestiti dal suo dipartimento Affari e Sviluppo degli Alumni. I funzionari dell’università confermarono successivamente che gli aggressori erano entrati tramite un attacco di phishing tramite telefono, noto anche come voice phishing o vishing.
I sistemi compromessi contenevano informazioni su ex studenti, donatori, genitori di studenti attuali ed ex, e su alcuni docenti, dipendenti e studenti. I documenti esposti includevano nomi, indirizzi email, numeri di telefono, indirizzi di casa e azienda, date di nascita, storie di donazioni e partecipazione agli eventi universitari.
Ulteriori informazioni sui profili identificate nel dataset trapelato includevano dettagli sull’occupazione, profili sui social media e altre informazioni biografiche raccolte attraverso le attività di coinvolgimento degli ex studenti e raccolta fondi di Harvard.
Il gruppo di criminali informatici ShinyHunters ha rivendicato la responsabilità dell’intrusione. Nel febbraio 2026, il gruppo ha pubblicato un dataset che conteneva più di un milione di registrazioni dopo che Harvard si è rifiutata di pagare un riscatto. L’università non ha confermato pubblicamente la responsabilità del gruppo per l’attacco.
L’ultima analisi di Have I Been Pwned ha identificato circa 850.500 account email unici all’interno delle informazioni esposte. Questa cifra rappresenta indirizzi email distinti piuttosto che un conteggio confermato degli individui colpiti, poiché il database trapelato conteneva più categorie di dati personali.
Harvard aveva precedentemente affermato che i sistemi compromessi non conservavano numeri di previdenza sociale, password degli account, informazioni sulle carte di pagamento o dettagli finanziari. Tuttavia, le informazioni di contatto esposte e i registri delle donazioni potrebbero comunque essere utili ai criminali che tentano di impersonare rappresentanti universitari.
Dopo la scoperta, Harvard ha rimosso l’accesso agli attaccanti e ha iniziato a collaborare con le forze dell’ordine e specialisti esterni della cybersecurity. L’università ha inoltre notificato le persone potenzialmente colpite nel novembre 2025, consigliando loro di monitorare eventuali comunicazioni sospette che pretendessero di provenire da Harvard.
L’inclusione del dataset trapelato in Have I Been Pwned ora permette alle persone di verificare se i loro indirizzi email compaiono tra i record compromessi. I risultati del servizio forniscono una valutazione più precisa dell’esposizione quasi un anno dopo l’intrusione originale.