Harvard: filtración de datos de 851.000 cuentas
Harvard informó de una filtración de datos que afectó a unas 851.000 cuentas. Las direcciones de correo electrónico quedaron expuestas en la dark web tras un ataque del grupo ShinyHunters en noviembre de 2025. Según descubrió el servicio Have I Been Pwned? (HIBP), el archivo robado también contenía información detallada sobre los perfiles de algunas personas.
A finales de noviembre de 2025, la universidad confirmó que los atacantes habían accedido a los sistemas de las áreas de relaciones con antiguos alumnos y desarrollo institucional. Para el ataque recurrieron al phishing telefónico: los estafadores convencen a alguien por teléfono para que revele datos o realice la acción que ellos quieren.
Los sistemas comprometidos almacenaban información sobre antiguos alumnos, donantes, parte del profesorado y del personal, algunos estudiantes actuales, así como sus cónyuges, parejas y padres. Según informó la universidad, entre los afectados había estudiantes actuales y antiguos.
Entre los datos expuestos figuran direcciones de correo electrónico, números de teléfono, domicilios y direcciones de trabajo, información sobre la participación en eventos y las donaciones, así como datos biográficos relacionados con la captación de fondos de la universidad y las relaciones con antiguos alumnos. Harvard afirmó que no se habían filtrado números de la Seguridad Social, contraseñas, datos de tarjetas bancarias ni otra información financiera.
Al principio, la universidad no señaló a los responsables. Poco después, el grupo de ransomware ShinyHunters reivindicó el ataque. En un foro de la dark web afirmó haber robado más de un millón de registros con datos personales e información sobre donaciones. Tras fracasar las negociaciones con la universidad a principios de febrero de este año, el grupo publicó más de 1,1 gigabytes de documentos.
El número exacto de afectados se conoció tras analizar el archivo. Según HIBP, se vieron comprometidos datos de 850.500 cuentas; el conjunto incluía nombres, direcciones de correo electrónico, fechas de nacimiento, teléfonos, direcciones postales y enlaces a perfiles en redes sociales. El servicio precisó que había encontrado 851.000 direcciones de correo electrónico únicas vinculadas a los sistemas de relaciones con antiguos alumnos y captación de donaciones, además de perfiles detallados de donantes, antiguos alumnos, padres y algunos empleados y estudiantes. Por tanto, las distintas cifras corresponden a diferentes métodos de recuento: el número de cuentas y el de direcciones de correo electrónico únicas.
El hackeo de Harvard fue el tercer incidente en universidades estadounidenses en pocas semanas. Antes, los ataques habían afectado a la Universidad de Princeton y a la Universidad de Pensilvania. A principios de noviembre de 2025, ShinyHunters afirmó haber robado a la Universidad de Pensilvania datos de aproximadamente 1,2 millones de estudiantes, antiguos alumnos y donantes.
Un atacante cuya identidad no se reveló dijo entonces a los medios que había obtenido acceso completo a la cuenta única de un empleado de PennKey. Esa cuenta permitió acceder a la VPN de la universidad, los datos de Salesforce, la plataforma de análisis Qlik, el sistema de inteligencia empresarial SAP y los archivos de SharePoint.
Tras el ataque, los delincuentes enviaron desde una cuenta de la Universidad de Pensilvania un correo en el que insultaban a la institución y la acusaban de proteger mal los datos, de favoritismo en las admisiones y la contratación, y de incumplir la ley federal FERPA sobre la privacidad de los datos educativos y la sentencia del Tribunal Supremo en el caso SFFA. Eran afirmaciones de los atacantes, no conclusiones confirmadas de una investigación.
Al principio, la universidad calificó los correos de «evidentemente falsos» y fraudulentos, pero más tarde confirmó el incidente. Según Penn, el personal restringió rápidamente el acceso a los sistemas y evitó nuevas intrusiones; sin embargo, antes de eso, el atacante había conseguido enviar un correo ofensivo y robar información. La universidad seguía investigando qué datos se habían obtenido exactamente.
Penn también informó de que los atacantes habían recurrido a la ingeniería social, es decir, a manipular a las personas para acceder a los sistemas. La mayoría de los empleados debe utilizar la autenticación multifactor (MFA), que exige confirmar el inicio de sesión mediante un método adicional. Sin embargo, según informaron los medios, algunos directivos tenían permitido prescindir de esta protección.
PEREC.RU
Las universidades tienen una fe especial en su propia excepcionalidad: los edificios antiguos, las grandes donaciones y las largas listas de antiguos alumnos parecen protegerlas automáticamente de la estupidez de siempre. Pero los ciberdelincuentes no necesitan una credencial con escudo: les basta con alguien que se crea una llamada y un sistema en el que a alguien se le permita saltarse las normas.
Esa es la moraleja aburrida, casi insultante, de incidentes como este. La tecnología puede ser cara, las presentaciones, impresionantes, y la política de seguridad, estar redactada por abogados en un lenguaje capaz de dormir a una sala de servidores. Luego llama alguien, pronuncia unas cuantas frases convincentes y toda la fortaleza digital descubre que tiene una entrada de servicio.
La excepción de «algunos pueden prescindir de la verificación adicional» resulta especialmente elocuente. La autenticación multifactor no es un adorno de la interfaz ni un castigo para el personal subalterno. Es una segunda cerradura en la puerta. Si se exige a la mayoría, pero se retira para las personas importantes, la propia organización cuelga un cartel: «Aquí el estatus importa más que el riesgo».
Después empieza el ritual de siempre: primero se dice que el correo es falso y luego se admite que se envió desde dentro; primero se habla de restringir el acceso y después se precisa que, aun así, se llevaron los datos. Este cambio de versión suele ser menos una conspiración que una reflexión de la dirección en tiempo real: primero tranquilizar al público y luego devolver con cuidado los hechos a la sala.
Los delincuentes tienen su propio discurso: insultan a la institución, enumeran agravios políticos y presentan el robo de datos como un manifiesto moral. Es un envoltorio práctico para la extorsión: este espectáculo cínico les permite parecer no ladrones, sino supuestos denunciantes. El contenido del archivo no se convierte por ello en un bien público, y las acusaciones grandilocuentes no pasan a ser pruebas.
El beneficiario de todo esto se ve sin necesidad de un tablero de detectives: los extorsionadores consiguen una palanca de presión y las universidades, un nuevo motivo para declarar que lo controlan e investigan todo. Entre una declaración y otra quedan las personas cuyas direcciones y biografías se han convertido en mercancía para quienes saben comerciar con la despreocupación ajena.
Mientras las organizaciones crean que un privilegio es el derecho a saltarse la verificación y que un folleto puede sustituir la formación del personal, la ingeniería social seguirá funcionando. No tiene una interfaz compleja, pero sí cuenta con la costumbre humana de ceder ante una voz segura de sí misma. El viejo truco de engañar a alguien por teléfono resultó más fiable que toda una serie de sistemas caros; y esa es, quizá, la parte más moderna de la historia.
