Violazione dati a Harvard: esposti oltre 850.000 indirizzi email unici

a sign in the grass — Robin Jonathan Deutsch / Unsplash

I sistemi informatici dell'Università di Harvard sono stati compromessi da un attacco informatico che ha esposto i dati personali di oltre 850.000 indirizzi email unici. L'incidente di sicurezza ha interessato le infrastrutture dedicate agli affari degli ex studenti e allo sviluppo istituzionale dell'ateneo. La violazione è stata confermata dal servizio di monitoraggio delle fughe di dati Have I Been Pwned, che ha analizzato le informazioni trapelate e ha verificato l'entità del danno subito dall'istituzione accademica.

L'università ha scoperto l'accesso non autorizzato il 18 novembre 2025. Gli aggressori hanno ottenuto l'accesso a informazioni personali relative a studenti, ex studenti, donatori, personale amministrativo e docenti. I dati rubati includono indirizzi email, numeri di telefono, indirizzi residenziali e commerciali, registri della partecipazione a eventi, dettagli sulle donazioni e informazioni biografiche relative alle attività di raccolta fondi e di coinvolgimento degli ex studenti. Nonostante la gravità dell'incidente, Klara Jelinkova, vicepresidente e direttrice delle informazioni dell'Università, ha dichiarato che i sistemi informatici compromessi non conservavano numeri di sicurezza sociale, password, informazioni sulle carte di pagamento o altri dati finanziari sensibili.

Il gruppo di estorsione ShinyHunters ha rivendicato la responsabilità dell'attacco. I criminali informatici hanno affermato di aver rubato oltre un milione di record contenenti informazioni identificabili e dati sulle donazioni dopo aver violato i sistemi dell'università. Dopo che Harvard si è rifiutata di pagare un riscatto per ottenere la restituzione e la distruzione dei dati rubati, i cybercriminali hanno pubblicato un archivio di documenti di 1,1 gigabyte sul loro sito di fuga nella dark web all'inizio di febbraio. L'analisi condotta da Have I Been Pwned ha confermato che la violazione ha esposto i dati di 850.500 account, inclusi nomi, date di nascita, profili sui social media e altri dettagli personali.

Altre due università della Lega Ivy, Princeton University e University of Pennsylvania, hanno segnalato violazioni dei dati nel novembre 2025. Entrambe le istituzioni hanno confermato che gli aggressori hanno avuto accesso alle informazioni dei donatori. Nel ottobre 2025, Harvard ha inoltre annunciato di star indagando su una seconda violazione dei dati. Il gruppo di ransomware Clop ha affermato di aver compromesso i sistemi dell'università sfruttando una vulnerabilità zero-day nella suite Oracle E-Business Suite. Due mesi dopo, l'Università di Phoenix si è aggiunta alla lista delle università statunitensi violate da Clop utilizzando la stessa falla di Oracle. L'ateneo ha rivelato che il gruppo ransomware ha rubato dati da quasi 3,5 milioni di studenti, personale e fornitori nell'agosto 2025.