Informações pessoais associadas a aproximadamente 850.500 contas de e-mail únicas foram expostas em um ataque cibernético contra os sistemas de ex-alunos e captação de recursos da Universidade de Harvard. A dimensão da violação ficou mais clara após a análise dos dados roubados e adicionados ao Have I Been Pwned serviço de notificação de violação.
A invasão remonta a 18 de novembro de 2025, quando Harvard descobriu acesso não autorizado a sistemas gerenciados por seu departamento de Assuntos e Desenvolvimento de Ex-Alunos. Autoridades da universidade posteriormente confirmaram que os atacantes haviam conseguido entrar por meio de um ataque de phishing por telefone, também conhecido como voice phishing ou vishing.
Os sistemas comprometidos continham informações sobre ex-alunos, doadores, pais de estudantes atuais e antigos, além de alguns professores, funcionários e estudantes. Registros expostos incluíam nomes, endereços de e-mail, números de telefone, endereços residenciais e comerciais, datas de nascimento, históricos de doações e participação em eventos universitários.
Informações adicionais de perfil identificadas no conjunto de dados vazado incluíam detalhes de emprego, perfis de redes sociais e outras informações biográficas coletadas por meio das atividades de engajamento de ex-alunos e captação de fundos de Harvard.
O grupo cibercriminoso ShinyHunters assumiu a responsabilidade pela invasão. Em fevereiro de 2026, o grupo publicou um conjunto de dados contendo supostamente mais de um milhão de registros após Harvard se recusar a pagar um resgate. A universidade não confirmou publicamente a responsabilidade do grupo pelo ataque.
A análise mais recente da Have I Been Pwned identificou aproximadamente 850.500 contas de e-mail únicas dentro das informações expostas. Esse número representa endereços de e-mail distintos, em vez de uma contagem confirmada de indivíduos afetados, já que o banco de dados vazado continha múltiplas categorias de registros pessoais.
Harvard já afirmou anteriormente que os sistemas comprometidos não armazenavam números de Previdência Social, senhas de conta, informações de cartão de pagamento ou detalhes financeiros. No entanto, as informações de contato expostas e registros de doações ainda podem ser úteis para criminosos que tentem se passar por representantes universitários.
Após a descoberta, Harvard removeu o acesso dos atacantes e começou a trabalhar com autoridades policiais e especialistas externos em cibersegurança. A universidade também notificou indivíduos potencialmente afetados em novembro de 2025, aconselhando-os a ficar atentos a comunicações suspeitas que alegassem ter origem em Harvard.
A inclusão do conjunto de dados vazado no Have I Been Pwned agora permite que as pessoas verifiquem se seus endereços de e-mail aparecem entre os registros comprometidos. As conclusões do serviço fornecem uma avaliação mais precisa da exposição quase um ano após a intrusão original.