Wyciek danych związany z atakiem na Uniwersytet Harvarda okazał się znacznie poważniejszy, niż początkowo było wiadomo. Analiza opublikowanych plików wykazała, że naruszenie mogło objąć około 850,5 tys. osób, których adresy e-mail i dane profilowe znajdowały się w systemach uczelni.
Jak doszło do ataku?
Do incydentu doszło pod koniec listopada 2025 roku. Cyberprzestępcy uzyskali dostęp do systemów obsługujących sprawy absolwentów i darczyńców, wykorzystując phishing telefoniczny, czyli tzw. vishing. Polega on na podszywaniu się pod zaufaną osobę lub instytucję podczas rozmowy, by skłonić ofiarę do ujawnienia informacji albo wykonania określonej czynności.
Harvard potwierdził, że naruszenie dotyczyło danych związanych m.in. z absolwentami, darczyńcami, częścią pracowników i studentów, a także ich rodzinami. Za atak odpowiedzialność przypisała sobie grupa ShinyHunters, znana z włamań i prób wymuszania okupu.
Jakie informacje wyciekły?
Według serwisu Have I Been Pwned, w udostępnionych plikach znalazło się około 851 tys. unikalnych adresów e-mail. Archiwum zawierało też nazwiska, daty urodzenia, numery telefonów, adresy pocztowe oraz informacje z profili w mediach społecznościowych.
Wśród ujawnionych materiałów były również szczegółowe dane dotyczące absolwentów i darczyńców, a także informacje o rodzicach, niektórych studentach i pracownikach. Harvard informował, że dostęp do jego systemów mógł ujawnić m.in. historię uczestnictwa w wydarzeniach, szczegóły darowizn oraz dane biograficzne wykorzystywane w działaniach fundraisingowych.
Uczelnia zapewniała, że wśród przejętych informacji nie było numerów ubezpieczenia społecznego, haseł, danych kart płatniczych ani informacji finansowych. Nie oznacza to jednak, że pozostałe dane są niegroźne — mogą posłużyć do tworzenia wiarygodnych, spersonalizowanych prób oszustwa.
Wyciek pokazuje, że dane kontaktowe i informacje profilowe mogą być cennym narzędziem w rękach oszustów. Nawet jeśli nie obejmują haseł ani danych finansowych, mogą pomóc w przygotowaniu przekonujących wiadomości i telefonów. Warto zachować czujność wobec kontaktów, które niespodziewanie nawiązują do naszej relacji z uczelnią.
Zobacz także: LastPass potwierdza wyciek danych po ataku na łańcuch dostaw — co o tym wiemy. To kolejny przykład tego, jak ataki na organizacje mogą prowadzić do ujawnienia danych.
Pliki trafiły do sieci
ShinyHunters twierdziła, że zdobyła ponad milion rekordów zawierających dane osobowe i informacje o darowiznach. Po fiasku rozmów z uczelnią grupa opublikowała na początku lutego 2026 roku ponad 1,1 GB skradzionych dokumentów. Dopiero późniejsza analiza archiwum pozwoliła dokładniej oszacować skalę naruszenia.
Osoby, których dane znalazły się w wycieku, powinny zachować szczególną ostrożność wobec nieoczekiwanych wiadomości, telefonów i próśb o przekazanie informacji. Oszuści mogą wykorzystywać znajomość danych osobowych lub relacji z uczelnią, by uwiarygodnić swoje działania.
Uczelnie coraz częściej celem cyberprzestępców
Atak na Harvard nie był odosobnionym przypadkiem. W podobnym okresie problemy z bezpieczeństwem zgłaszały także inne amerykańskie uczelnie, w tym Princeton i Uniwersytet Pensylwanii. Incydent w Penn również wiązano z socjotechniką, która pozwoliła napastnikom uzyskać dostęp do kont i systemów instytucji.
Takie ataki pokazują, że nawet rozbudowane organizacje mogą być podatne na manipulację pracowników. Silne zabezpieczenia techniczne są ważne, ale równie istotne pozostają wieloskładnikowe uwierzytelnianie, szkolenia z rozpoznawania prób oszustwa oraz szybkie reagowanie na podejrzane kontakty.
850k rekordów — masakra. Vishing pokazuje, że technologia bez edukacji i auth odpornych na phishing nie ma sensu. Uczelnie powinny pilnie wdrażać FIDO2 zamiast TOTP-ów i pushy, bo to jedyna sensowna obrona przed socjotechniką.
Harvard twierdzi, że nie wyciekły numery ubezpieczeń ani hasła — brzmi jak PR. To, że nie ma SSN czy kart, nie znaczy że dane nie są wartościowe dla oszustów (spearphishing, wyłudzenia darowizn). Poza tym pytanie: dlaczego dane darczyńców były tak łatwo dostępne w systemie, który można zmanipulować telefonicznie? Słaba segregacja dostępu i brak procedur.
Jako ktoś, kto audytuje systemy uczelniane: vishing zwykle działa dlatego, że procesy IAM mają luki — brak step-up auth dla operacji krytycznych, zbyt szerokie role w AD/LDAP i brak monitoringu anomalii w SIEM. Również uwaga do artykułu: MFA typu TOTP/push można obejść przez social engineering (MFA push fatigue, phishing proxy), więc rekomenda to phishing-resistant auth (FIDO2/WebAuthn), ograniczenie uprawnień i szybsze wykrywanie lateral movement w sieci. Have I Been Pwned to dobry punkt startowy, ale uczelnie powinny też wdrożyć własne alerty i retencję logów.
Pracowałam w dziale alumni w mniejszej uczelni — mieliśmy podobne telefony. Najskuteczniejsze okazały sie regularne symulacje vishingu i jasne procedury „nie potwierdzaj danych przez telefon”. Wdrożenie MFA dla kont pracowniczych pomoglo, ale nadal problemem jest to, ze baza darczyńców ma zbyt szeroki dostep dla kilku osób — powinni trzymac te dane w osobnym systemie z ograniczonymi uprawnieniami. (tak, mam klopoty z polskimi znakami w pracy na szybkim laptopie ;))
Ktoś wie czy osoby dotknięte wyciekiem dostaną darmowy monitoring lub powiadomienia prawne? I czy Harvard ma obowiązek zgłosić to do FERPA albo innych regulatorów w USA? Z technicznej strony: czy sprawdzano logi telefoniczne/VOIP pod kątem spoofingu caller ID? Jak uczelnie powinny przeciwdziałać vishingowi w praktyce — szkolenia czy tech (call-back verification, policy)?
Narzekanie na „ludzi” za każdym razem to najprostsza wymówka. Jasne, socjotechnika istnieje, ale normalna organizacja nie trzyma krytycznych danych w jednym, łatwo dostępnym katalogu. Segregacja danych, least privilege, MFA dla adminów i tight IAM + incident response playbook powinny być standardem na uczelniach z budżetem Harvarda. Niech ktoś przestanie usprawiedliwiać brak procedur słowem „ludzie”.