Harvardで2025年11月に発生したデータ侵害の実態が、より明確になった。Have I Been Pwned（HIBP）が収録する記録には、およそ85万1,000件の固有のメールアドレスが含まれている。
HIBPがこのデータセットを追加したのは2026年11月3日で、Harvardの同窓生関連・開発部門のシステムへの侵入からほぼ1年後にあたる。85万1,000件という数字は、影響を受けた個人の確定人数ではなく、固有のメールアドレスの数を示すものだが、記録には寄付履歴や、卒業生、寄付者、保護者、一部の学生や職員にひも付く個人情報も含まれている。こうした情報は、攻撃者が大学関係者になりすましたり、より巧妙なフィッシングメッセージを作成したりするのに役立つ可能性がある。
HIBP、寄付者と卒業生の詳細情報を特定
HIBPの侵害情報には、約85万500件の固有アドレスと、氏名、電話番号、住所、生年月日、勤務先、寄付情報、市民権の有無、民族、家族の氏名などのデータカテゴリーが含まれている。すべての記録に全カテゴリーの情報が含まれているとは限らない。
Harvardは2025年11月18日に、電話を使ったフィッシング攻撃を受けて侵入を発見したと説明した。大学はインシデント通知で、不正アクセスを排除し、「さらなる不正アクセスの証拠は見つかっていない」と述べた。また、影響を受けたシステムには通常、パスワード、社会保障番号、決済カード情報、銀行口座情報は保存されていなかったという。
ShinyHuntersは、先行する情報流出への関与を主張
BleepingComputerは、ShinyHuntersがこの侵害への関与を主張し、2026年2月に1.1GBのアーカイブを公開したと報じた。同グループは、その中に100万件を超える記録が含まれていると主張していた。 TechCrunchは、公開された情報の一部を検証したと報じた。ただし、Harvardは攻撃を同グループによるものだと公に帰属させておらず、ShinyHuntersが主張する記録数を、HIBPが集計した固有のメールアドレス数と混同してはならない。
Harvardは2025年11月22日の通知メールで、どの情報がアクセスされたのかを正確には特定できていないと説明した。HIBPが2026年11月に掲載した情報は、データセットの規模と報告されたデータカテゴリーを示すものの、個人ごとにどの詳細情報が流出したのかまでは明らかにしていない。この掲載情報が対象としているのは、2025年11月のデータ侵害である。
ShinyHuntersは、 Instructure Canvasに関する2026年5月の別の攻撃とも関連付けられている。この攻撃はHarvardを含む大学のログインポータルを停止させた。別のプラットフォームが関係しており、大学の卒業生・寄付者データの侵害との関連は確認されていない。
詳細なプロフィール情報が卒業生・寄付者との通信を危険にさらす
勤務先、過去の寄付、家族関係を知っている詐欺師なら、同窓会イベント、寄付の約束、連絡先情報の更新依頼について、もっともらしいメッセージを送れる。引用された情報源は、このデータセットを使ったフィッシングキャンペーンを確認したとは報じていない。それでも、こうした情報によって、詐欺メールや詐欺電話が大学からの正当な連絡と見分けにくくなる可能性がある。
Harvardに関係する個人や組織が次に取るべき対策は明確だ。
- 卒業生・寄付者：関連するメールアドレスを Have I Been Pwnedで確認する。Harvardのデータ侵害が結果に表示されても、そのアドレスがデータセットに含まれていたことを示すだけで、パスワードが盗まれたことを意味しない。予期しない寄付依頼、アカウント確認依頼、支払い依頼は不審なものとして扱い、Harvardの連絡先を独自に確認したうえで問い合わせる。
- 大学のITチーム：卒業生の記録にアクセスしてエクスポートできる人を見直し、大量ダウンロードを制限し、寄付者データベースを扱う職員の認証を強化する。特に今回の侵入が 電話を使ったフィッシングによるものだったことを踏まえ、アクセスやアカウント変更を求める電話には確認を徹底するよう、ヘルプデスクを訓練する。
- アドバancement・サポートチーム：確認済みの窓口を通じて質問に答えられるよう準備する。攻撃者が大学のサポート担当者を装い、混乱につけ込めないよう、一貫した案内を用意する。また、個人的な経歴の詳細に言及する不審なメッセージを受け取った人には、報告を促す。
パスワードとは異なり、寄付者の履歴、家族の氏名、職業上のつながりは、流出後に簡単にリセットできない。攻撃者はこうした情報を使って、詐欺的な寄付依頼や支払い依頼に信ぴょう性を持たせる可能性がある。そのため、実際の寄付や個人的なつながりに言及したメッセージも、本人確認の証拠ではなく、検証すべき主張として扱うべきだ。
アドバancement・サポートチームは、支払い情報や寄付者アカウント情報の変更依頼を検証する明確な手順を定めるべきだ。職員は、通常と異なる依頼について、受信メッセージに記載された電話番号やリンクではなく、信頼できる記録にあらかじめ登録された連絡先を使って確認する必要がある。ヘルプデスクも、流出した経歴情報だけを根拠にパスワードのリセットやアカウント復旧を行わないようにすべきだ。
大学は、寄付者や卒業生の情報をどれだけ長く保持するのか、誰にアクセスが必要なのか、通常と異なるエクスポートがアラートを発生させるかを見直すべきだ。 University of Mississippi Medical Centerの診療所を閉鎖させたランサムウェア攻撃は、サイバーインシデントがもたらす別の結果、つまり業務の中断を示している。Harvardの事例は、侵入を封じ込めた後も、流出した情報が将来のなりすましに利用される可能性のある人々に対して、継続的な案内が必要な理由を浮き彫りにしている。
詳しくはこちら：本番環境外でも機密性の高い大学記録が流出し得ることを、 約52万5,000人に影響したUniversity of Copenhagenのデータ侵害が示している。