Yaklaşık 850.500 benzersiz e-posta hesabına bağlı kişisel bilgiler, Harvard Üniversitesi mezunları ve bağış toplama sistemlerine yönelik bir siber saldırıda ortaya çıktı. Çalınan veriler analiz edilip ihlal Have I Been Pwned bildirim servisine eklendikten sonra ihlalın ölçeği daha net hale geldi.
Bu müdahale, Harvard’ın Mezunlar İşleri ve Geliştirme departmanı tarafından yönetilen sistemlere yetkisiz erişimi keşfettiği 18 Kasım 2025’e kadar uzanıyor. Üniversite yetkilileri, saldırganların telefonla yapılan bir oltalama saldırısı, yani sesli oltalama veya vishing olarak da bilinir, giriş sağladığını doğruladı.
Tehlikeye giren sistemler, mezunlar, bağışçılar, mevcut ve eski öğrencilerin velileri ile bazı öğretim üyeleri, çalışanlar ve öğrenciler hakkında bilgiler içeriyordu. Ortaya çıkan kayıtlar arasında isimler, e-posta adresleri, telefon numaraları, ev ve iş adresleri, doğum tarihleri, bağış geçmişleri ve üniversite etkinliklerine katılım yer alıyordu.
Sızdırılan veri setinde tespit edilen ek profil bilgileri arasında istihdam detayları, sosyal medya profilleri ve Harvard’ın mezunlarla etkileşim ve bağış toplama faaliyetleri aracılığıyla toplanan diğer biyografik bilgiler yer alıyordu.
Siber suç grubu ShinyHunters, bu müdahalenin sorumluluğunu üstlendi. Şubat 2026’da, Harvard’ın fidye ödemeyi reddetmesinin ardından bir milyondan fazla kayıt içeren bir veri seti yayımladı. Üniversite, saldırıdan sorumluluğu kamuoyuna doğrulamadı.
Have I Been Pwned tarafından yapılan son analiz, maruz kalan bilgiler arasında yaklaşık 850.500 benzersiz e-posta hesabı tespit etmiştir. Bu rakam, sızdırılan veritabanında birden fazla kişisel kayıt kategorisi bulunduğundan, etkilenen bireylerin onaylanmış sayısı yerine ayrı e-posta adreslerini temsil etmektedir.
Harvard, daha önce ele salınan sistemlerin Sosyal Güvenlik numaralarını, hesap şifrelerini, ödeme kartı bilgilerini veya finansal hesap bilgilerini saklamadığını belirtmişti. Ancak, ortaya çıkan iletişim bilgileri ve bağış kayıtları, üniversite temsilcilerini taklit etmeye çalışan suçlular için hâlâ faydalı olabilir.
Keşfin ardından Harvard, saldırganların erişimini kaldırdı ve kolluk kuvvetleri ile dış siber güvenlik uzmanlarıyla çalışmaya başladı. Üniversite ayrıca Kasım 2025’te potansiyel etkilenen kişileri bilgilendirerek, şüpheli iletişimleri Harvard’dan geldiğini iddia eden iletişimlere dikkat etmelerini tavsiye etti.
Sızdırılan veri setinin Have I Been Pwned (Have I Been Pwned) kapsamına dahil edilmesi, artık bireylerin e-posta adreslerinin ele salınan kayıtlar arasında olup olmadığını kontrol etmelerine olanak tanıyor. Hizmetin bulguları, orijinal müdahaleden yaklaşık bir yıl sonra maruziyete dair daha hassas bir değerlendirme sunuyor.