Filtración de datos de Harvard University: 850 784 direcciones de correo

Harvard University Information Technology comunicó el acceso no autorizado y el método de phishing telefónico en su página oficial sobre el incidente. La universidad afirmó que había revocado el acceso del atacante y que había colaborado con las fuerzas del orden y con especialistas externos en ciberseguridad.

Más adelante, un medio de comunicación independiente revisó el conjunto de datos publicado e informó de que su contenido parecía coincidir con las categorías que Harvard había comunicado. Otra ficha verificada de la filtración corroboró el dominio, el periodo de noviembre de 2025, los tipos de datos y el número de direcciones de correo electrónico únicas.

Harvard descubrió el acceso no autorizado el 18 de noviembre de 2025. Su página oficial de información se publicó el 22 de noviembre y la sección de preguntas frecuentes se fue actualizando a medida que avanzaba la investigación.

El aviso público no indica el primer día en que el atacante accedió a los sistemas ni cuánto tiempo duró el acceso. La publicación de los datos en febrero de 2026 se presentó como una continuación del mismo incidente de 2025, no como una filtración distinta de Harvard.

Las categorías verificadas son direcciones de correo electrónico, nombres, géneros, direcciones postales y números de teléfono. El aviso de Harvard también señala que los sistemas en cuestión contenían información sobre asistencia a eventos, donaciones y otros datos biográficos vinculados a las relaciones con los exalumnos.

Harvard afirmó que estos sistemas no suelen contener números de la seguridad social, contraseñas, datos de tarjetas de pago ni números de cuentas financieras. Esos campos tampoco figuran entre las categorías verificadas del conjunto de datos y, por tanto, no se incluyen en el alcance del catálogo.

La cifra verificada es de 850 784 direcciones de correo electrónico únicas en el conjunto de datos publicado. Es un recuento de las identidades de correo electrónico confirmadas en ese conjunto, no un número exacto de personas afectadas anunciado por Harvard.

Harvard no comunicó una cifra definitiva del total de personas afectadas. Las cifras superiores de registros sin depurar publicadas en otras fuentes utilizan una medida distinta y no se sumaron a la cifra de 850 784.

Los nombres, las direcciones, los números de teléfono y las direcciones de correo electrónico, combinados con información sobre donantes y exalumnos, pueden facilitar ataques de phishing dirigidos, solicitudes falsas de donaciones y suplantaciones de identidad. Los atacantes pueden utilizar detalles sobre una relación anterior con Harvard para que un mensaje parezca creíble.

No se confirmó que las contraseñas se hubieran visto afectadas, pero los mensajes personalizados por correo electrónico, teléfono o correo postal pueden resultar más convincentes. Conviene extremar la precaución ante las comunicaciones que soliciten verificar una cuenta, tramitar el reembolso de una donación o realizar una transacción urgente.

Las solicitudes inesperadas que afirmen proceder de Harvard o de una organización relacionada deben verificarse a través de un canal oficial conocido, sin utilizar los enlaces del mensaje. No facilite códigos de un solo uso, contraseñas ni información financiera a quien le llame.

Active la autenticación multifactor en sus cuentas de correo electrónico, revise las sesiones inusuales y denuncie los mensajes sospechosos. Los donantes y exalumnos también deben estar atentos a los intentos de ingeniería social que impliquen facturas falsas, cambios de dirección o solicitudes de pago.