En noviembre de 2025, la Universidad de Harvard sufrió un ciberataque ejecutado por el grupo ShinyHunters, afectando los datos de más de 850,000 cuentas de exalumnos, donantes y personal. La información filtrada incluye correos, teléfonos y direcciones, aunque no se comprometieron contraseñas ni datos financieros. El grupo criminal publicó los documentos en la dark web después de que la institución se negara a pagar un rescate.

Los hackers que vulneraron los sistemas de Asuntos de Antiguos Alumnos y Desarrollo de la Universidad de Harvard en noviembre de 2025 robaron datos vinculados a más de 850,000 direcciones de correo electrónico únicas, según el servicio de notificación de brechas Have I Been Pwned.

Harvard es una universidad de investigación privada de la Ivy League con más de 20,000 profesores y empleados, más de 24,500 estudiantes de grado y posgrado, y más de 400,000 antiguos alumnos en todo el mundo.

Según descubrió la universidad el 18 de noviembre de 2025, los atacantes obtuvieron acceso a la información personal de estudiantes, antiguos alumnos, donantes, personal y miembros de la facultad, incluyendo direcciones de correo electrónico, números de teléfono, direcciones residenciales y comerciales, registros de asistencia a eventos, detalles de donaciones e "información biográfica perteneciente a la recaudación de fondos de la Universidad y actividades de compromiso con los antiguos alumnos".


Sin embargo, Klara Jelinkova, Vicepresidenta y Directora de Información (CIO) de la Universidad de Harvard, afirmó que los sistemas informáticos vulnerados no almacenaban números de Seguro Social, contraseñas, información de tarjetas de pago ni información financiera.

Aunque Harvard no ha atribuido el ataque a un grupo de hacking o actor de amenazas específico, la banda de extorsión ShinyHunters se atribuyó la responsabilidad [enlace] y afirmó haber robado más de 1 millón de registros que contenían información identificable y datos de donaciones tras vulnerar los sistemas de la universidad.

Los cibercriminales filtraron posteriormente un archivo de documentos de 1.1 GB en su sitio de filtraciones de la dark web a principios de febrero, después de que Harvard se negara a pagar un rescate para que los datos robados fueran devueltos y destruidos.

Universidad de Harvard en el sitio de filtraciones de ShinyHunters (BleepingComputer)

Mientras que un portavoz de Harvard no pudo compartir cuántas personas habían tenido su información expuesta cuando BleepingComputer solicitó más detalles en su momento, Have I Been Pwned analizó los datos filtrados por la banda de cibercrimen y confirmó el martes que la brecha expuso los datos de 850,500 cuentas [enlace], incluyendo nombres, direcciones de correo electrónico, fechas de nacimiento, números de teléfono, direcciones físicas, perfiles de redes sociales y más.

"Los datos contenían 851 mil direcciones de correo electrónico únicas relacionadas con los sistemas de antiguos alumnos y recaudación de fondos de la universidad, junto con amplia información de perfiles de donantes, antiguos alumnos, padres y algunos profesores, personal y estudiantes", señaló.

Otras dos escuelas de la Ivy League, la Universidad de Princeton y la Universidad de Pensilvania, revelaron brechas de datos en noviembre de 2025, confirmando ambas que los atacantes accedieron a la información de los donantes.

En octubre de 2025, Harvard también informó a BleepingComputer que estaba investigando una segunda brecha de datos después de que la banda de ransomware Clop afirmara que había vulnerado los sistemas de la universidad utilizando una vulnerabilidad de día cero de Oracle E-Business Suite (EBS).

Dos meses después, la Universidad de Phoenix (UoPX) se sumó a la lista de universidades estadounidenses vulneradas por Clop utilizando el mismo fallo de Oracle EBS y reveló que la banda de ransomware robó datos de casi 3.5 millones de estudiantes, personal y proveedores de UoPX en agosto de 2025.


Fuente:
BleepingComputer