La fuite de données de Harvard survenue en novembre 2025 se précise : environ 851 000 adresses e-mail uniques apparaissent dans les données recensées par Have I Been Pwned (HIBP).
HIBP a ajouté ces données le 3 novembre 2026, près d’un an après l’intrusion dans les systèmes de la direction des affaires des anciens élèves et du développement de Harvard. Si le chiffre de 851 000 correspond au nombre d’adresses e-mail uniques et non à un nombre confirmé de personnes touchées, les données contiennent également l’historique des dons et des informations personnelles liées à des anciens élèves, des donateurs, des parents, ainsi qu’à certains étudiants et employés. Ces informations pourraient aider des attaquants à se faire passer pour des représentants de l’université ou à rédiger des messages d’hameçonnage plus convaincants.
HIBP identifie des informations détaillées sur les donateurs et les anciens élèves
L’entrée de HIBP consacrée à la fuite de données recense environ 850 500 adresses uniques et des catégories de données comprenant les noms, les numéros de téléphone, les adresses postales, les dates de naissance, les employeurs, les informations sur les dons, la citoyenneté, l’origine ethnique et les noms des membres de la famille. Chaque donnée ne figure pas nécessairement dans tous les dossiers.
Harvard a déclaré avoir découvert l’intrusion le 18 novembre 2025, après une attaque d’hameçonnage par téléphone. Dans son avis d’incident, l’université a indiqué avoir supprimé les accès non autorisés et n’avoir trouvé « aucune preuve d’un nouvel accès non autorisé ». Elle a également précisé que les systèmes concernés ne contenaient généralement pas de mots de passe, de numéros de sécurité sociale, de données de cartes de paiement ni d’informations bancaires.
ShinyHunters a revendiqué la fuite antérieure
BleepingComputer a rapporté que ShinyHunters avait revendiqué la fuite et publié une archive de 1,1 Go en février 2026, en affirmant qu’elle contenait plus d’un million de dossiers. TechCrunch a rapporté avoir vérifié certaines des informations publiées. Harvard n’a toutefois pas publiquement attribué l’attaque au groupe, et le nombre de dossiers revendiqué par ShinyHunters ne doit pas être confondu avec le décompte des adresses e-mail uniques établi par HIBP.
Dans son e-mail de notification du 22 novembre 2025, Harvard a indiqué ne pas avoir déterminé précisément quelles informations avaient été consultées. La liste publiée par HIBP en novembre 2026 établit l’ampleur des données et les catégories d’informations signalées, mais ne permet pas de déterminer quelles informations ont été exposées pour chaque personne. Cette liste concerne la fuite de données de novembre 2025.
ShinyHunters a également été associé à une attaque distincte de mai 2026 impliquant Instructure Canvas qui a perturbé les portails de connexion de plusieurs universités, dont celui de Harvard. L’incident concernait une autre plateforme et aucun lien n’a été établi avec la fuite de données des anciens élèves et des donateurs de l’université.
Des profils détaillés mettent en danger les communications avec les anciens élèves et les donateurs
Un escroc connaissant l’employeur d’une personne, ses dons passés ou ses liens familiaux pourrait lui envoyer un message plausible au sujet d’un événement d’anciens élèves, d’une promesse de don ou d’une demande de mise à jour de ses coordonnées. Les sources citées ne font état d’aucune campagne d’hameçonnage confirmée utilisant ces données. Ces informations pourraient néanmoins rendre les e-mails et appels frauduleux plus difficiles à distinguer de communications légitimes de l’université.
Pour les personnes et les organisations liées à Harvard, les prochaines étapes sont précises :
- Anciens élèves et donateurs : Vérifiez les adresses e-mail concernées sur Have I Been Pwned. Si le résultat mentionne la fuite de données de Harvard, cela signifie que l’adresse figurait dans ces données ; cela ne prouve pas qu’un mot de passe a été dérobé. Considérez comme suspectes les demandes inattendues de dons, de vérification de compte ou de paiement, et vérifiez-les en utilisant les coordonnées de Harvard trouvées indépendamment.
- Équipes informatiques de l’université : Examinez qui peut accéder aux dossiers des anciens élèves et les exporter, limitez les téléchargements en masse et renforcez l’authentification du personnel qui gère les bases de données des donateurs. Formez les services d’assistance à mettre au défi les appelants qui demandent un accès ou des modifications de compte, d’autant que l’intrusion initiale impliquait l’hameçonnage par téléphone.
- Équipes du développement et de l’assistance : Préparez-vous à répondre aux questions par des canaux vérifiés. Utilisez des consignes cohérentes afin que les attaquants ne puissent pas exploiter la confusion en se faisant passer pour le support de l’université, et encouragez les destinataires à signaler les messages suspects faisant référence à des informations biographiques privées.
Contrairement à un mot de passe, l’historique des dons d’un donateur, les noms des membres de sa famille et ses relations professionnelles ne peuvent pas être simplement réinitialisés après une exposition. Des attaquants pourraient utiliser ces informations pour rendre crédibles des demandes frauduleuses de dons ou de paiement. Un message faisant référence à un don réel ou à une relation personnelle doit donc être considéré comme une affirmation à vérifier, et non comme une preuve d’identité.
Les équipes du développement et de l’assistance devraient mettre en place une procédure claire pour vérifier les demandes de modification des coordonnées de paiement ou des informations de compte des donateurs. Le personnel devrait confirmer les demandes inhabituelles en utilisant les coordonnées déjà conservées dans des dossiers fiables, plutôt que les numéros ou les liens fournis dans un message reçu. Les services d’assistance devraient également éviter d’utiliser des informations biographiques exposées comme seul fondement pour réinitialiser un mot de passe ou récupérer un compte.
Les universités devraient examiner la durée de conservation des informations sur les donateurs et les anciens élèves, les personnes qui doivent y avoir accès et la possibilité de déclencher des alertes lors d’exportations inhabituelles. Le rançongiciel qui a contraint les cliniques de l’University of Mississippi Medical Center à fermer illustre une autre conséquence des incidents cyber : les perturbations opérationnelles. Le cas de Harvard souligne pourquoi le confinement d’une intrusion doit également être suivi de conseils durables pour les personnes dont les informations exposées pourraient favoriser de futures tentatives d’usurpation.
À lire aussi : Des dossiers universitaires sensibles peuvent également être exposés en dehors des systèmes de production, comme la fuite de données de l’Université de Copenhague touchant environ 525 000 personnesle montre.