Гарвард: утечка на 851 тысячу аккаунтов

Гарвард сообщил об утечке данных, затронувшей около 851 тысячи аккаунтов. Адреса электронной почты оказались в открытом доступе в даркнете после атаки группы ShinyHunters в ноябре 2025 года. Как выяснил сервис Have I Been Pwned? (HIBP), в украденном архиве также содержались подробные сведения о профилях некоторых людей.

В конце ноября 2025 года университет подтвердил, что злоумышленники проникли в системы подразделений по работе с выпускниками и развитию университета. Для атаки использовали голосовой фишинг — мошенники убеждают человека по телефону раскрыть данные или выполнить нужное им действие.

В скомпрометированных системах хранились сведения о выпускниках, жертвователях, части преподавателей и сотрудников, некоторых нынешних студентах, а также их супругах, партнёрах и родителях. По сообщению университета, пострадали и нынешние, и бывшие студенты.

Среди раскрытых данных — адреса электронной почты, номера телефонов, домашние и рабочие адреса, сведения об участии в мероприятиях, пожертвованиях и биографическая информация, связанная с университетским фандрайзингом и взаимодействием с выпускниками. Гарвард заявлял, что номера социального страхования, пароли, данные банковских карт и другая финансовая информация не утекли.

Сначала университет не называл виновных. Вскоре ответственность взяла на себя группировка вымогателей ShinyHunters. На форуме в даркнете она заявила, что похитила более миллиона записей с персональными данными и сведениями о пожертвованиях. После срыва переговоров с университетом в начале февраля этого года группировка выложила более 1,1 гигабайта документов.

Точное число пострадавших стало известно после анализа архива. По данным HIBP, были скомпрометированы сведения о 850 500 аккаунтах; в наборе нашлись имена, электронные адреса, даты рождения, телефоны, почтовые адреса и ссылки на профили в социальных сетях. Сервис уточнил, что обнаружил 851 тысячу уникальных адресов электронной почты, связанных с системами работы с выпускниками и сбора пожертвований, а также обширные профили жертвователей, выпускников, родителей и некоторых сотрудников и студентов. Поэтому разные цифры относятся к разным способам подсчёта: числу аккаунтов и числу уникальных адресов.

Взлом Гарварда стал третьим инцидентом в американских университетах за несколько недель. До этого атаки затронули Принстонский университет и Университет Пенсильвании. В начале ноября 2025 года ShinyHunters заявила, что похитила у Пенсильванского университета данные примерно 1,2 миллиона студентов, выпускников и жертвователей.

Не назвавшийся злоумышленник тогда сообщил СМИ, что получил полный доступ к единой учётной записи сотрудника PennKey. Такая учётная запись открыла доступ к VPN университета, данным Salesforce, аналитической платформе Qlik, системе бизнес-аналитики SAP и файлам SharePoint.

После атаки преступники отправили письмо с аккаунта Пенсильванского университета, в котором оскорбляли учреждение и обвиняли его в плохой защите данных, фаворитизме в приёме и найме, а также нарушении федерального закона FERPA о конфиденциальности образовательных данных и решения Верховного суда по делу SFFA. Это были заявления злоумышленников, а не подтверждённые выводы расследования.

Сначала университет назвал письма «очевидно поддельными» и мошенническими, но позднее подтвердил инцидент. По заявлению Penn, сотрудники быстро ограничили доступ к системам и не допустили дальнейшего проникновения, однако до этого атакующий успел разослать оскорбительное письмо и похитить информацию. Университет продолжал выяснять, какие именно данные были получены.

Penn также сообщил, что атакующие использовали социальную инженерию — манипуляции людьми ради доступа к системам. Большинство сотрудников обязаны применять многофакторную аутентификацию (MFA), то есть подтверждать вход дополнительным способом. Однако, по сообщениям СМИ, некоторым руководителям разрешалось обходиться без этой защиты.