La información vinculada a unas 850.500 personas afectadas por una brecha en los sistemas de Harvard University ha aparecido en bases de datos de seguimiento de filtraciones y archivos de la dark web. Los datos incluyen direcciones de correo electrónico, teléfonos y otra información personal y de perfil relacionada con antiguos alumnos, donantes y miembros de la comunidad universitaria.
## Qué información quedó expuesta
Harvard confirmó en noviembre de 2025 que los sistemas de Alumni Affairs and Development habían sido comprometidos mediante un ataque de *voice phishing* o vishing: una modalidad de ingeniería social en la que los atacantes utilizan llamadas telefónicas para engañar a sus víctimas y obtener acceso a sistemas o cuentas.
Los sistemas afectados contenían registros de antiguos alumnos, donantes, algunos docentes y empleados, estudiantes actuales y familiares de integrantes de la comunidad universitaria. La información expuesta podía incluir nombres, direcciones de correo electrónico, números de teléfono, domicilios, fechas de nacimiento, perfiles en redes sociales, registros de asistencia a eventos, datos sobre donaciones y otra información biográfica utilizada en actividades de recaudación y vinculación con antiguos alumnos.
Según Have I Been Pwned (HIBP), el conjunto filtrado contiene alrededor de 851.000 direcciones de correo electrónico únicas y perfiles asociados. La universidad indicó que no se expusieron números de la Seguridad Social, contraseñas, datos de tarjetas de pago ni información financiera.
El grupo de extorsión ShinyHunters se atribuyó el ataque. Después de que las negociaciones con la universidad fracasaran, publicó más de 1,1 GB de documentos a comienzos de febrero de 2026, según los reportes sobre el incidente. Un análisis posterior de ese material permitió dimensionar con mayor precisión el alcance de la exposición.
## Un patrón de ataques contra universidades
El incidente de Harvard se produjo en medio de una serie de ataques dirigidos a universidades estadounidenses. En las semanas previas también se reportaron brechas en Princeton University y University of Pennsylvania.
En el caso de Penn, los atacantes habrían obtenido acceso a una cuenta de un empleado y a distintos sistemas institucionales. La universidad confirmó posteriormente que hubo acceso no autorizado y que se sustrajo información. Penn señaló que la intrusión se produjo mediante ingeniería social y que sus equipos bloquearon el acceso, aunque no antes de que se enviara un correo fraudulento a la comunidad universitaria.
Estos casos muestran que las instituciones educativas son objetivos atractivos por la cantidad y variedad de información que conservan. Los sistemas de antiguos alumnos y recaudación de fondos pueden reunir datos de contacto, antecedentes biográficos, vínculos familiares y registros de donaciones. Esa información puede servir para elaborar mensajes de suplantación más convincentes y facilitar nuevos ataques.
## Medidas para reducir el riesgo
Las organizaciones pueden limitar su exposición aplicando autenticación multifactor de forma consistente, también para cuentas privilegiadas y directivas; capacitando al personal para reconocer intentos de vishing; revisando los permisos de acceso y la cantidad de datos almacenados; y supervisando actividades inusuales en sistemas de gestión de donantes y antiguos alumnos.
Quienes hayan tenido relación con Harvard pueden mantenerse alerta ante mensajes inesperados que hagan referencia a donaciones, eventos o vínculos universitarios. Conviene verificar las solicitudes por un canal independiente y evitar compartir credenciales, códigos de autenticación o información financiera en respuesta a llamadas o correos no solicitados. La exposición de datos de contacto no implica necesariamente que una cuenta haya sido tomada, pero sí puede aumentar el riesgo de intentos de fraude y suplantación.
from Latest from TechRadar https://ift.tt/brKaiTc
via IFTTT IA
