Fuite de données à Harvard University: 850 784 adresses e-mail

Sur sa page officielle consacrée à l’incident, Harvard University Information Technology a fait état de l’accès non autorisé ainsi que de la méthode d’hameçonnage par téléphone utilisée. L’université a déclaré avoir révoqué l’accès de l’attaquant et avoir travaillé avec les forces de l’ordre et des experts externes en cybersécurité.

Un média indépendant a ensuite examiné le jeu de données publié et rapporté que son contenu semblait correspondre aux catégories divulguées par Harvard. Une fiche distincte et vérifiée consacrée à cette fuite a corroboré le domaine, la période de novembre 2025, les types de données et le nombre d’adresses e-mail uniques.

Harvard a découvert l’accès non autorisé le 18 novembre 2025. Sa page d’information officielle a été publiée le 22 novembre et la FAQ a été mise à jour au fil de l’enquête.

L’avis public ne précise ni la date du premier accès de l’attaquant aux systèmes, ni la durée de cet accès. La publication des données en février 2026 a été présentée comme une suite du même incident de 2025, et non comme une autre fuite de données à Harvard.

Les catégories de données vérifiées sont les adresses e-mail, les noms, le genre, les adresses postales et les numéros de téléphone. L’avis de Harvard indique également que les systèmes concernés contenaient des informations sur la participation à des événements, les dons et d’autres éléments biographiques liés aux relations avec les anciens étudiants.

Harvard a déclaré que ces systèmes ne contiennent généralement pas de numéros de sécurité sociale, de mots de passe, d’informations de carte de paiement ou de numéros de compte financier. Ces champs ne figurent pas non plus parmi les catégories vérifiées du jeu de données et ne sont donc pas inclus dans le périmètre du catalogue.

Le chiffre vérifié est de 850 784 adresses e-mail uniques dans le jeu de données publié. Il s’agit d’un décompte des identités e-mail confirmées dans ce jeu de données, et non d’un nombre exact de personnes touchées communiqué par Harvard.

Harvard n’a pas divulgué de nombre définitif de personnes touchées. Les nombres d’enregistrements bruts plus élevés rapportés ailleurs reposent sur une autre mesure et n’ont pas été ajoutés au chiffre de 850 784.

Les noms, adresses, numéros de téléphone et adresses e-mail, combinés aux informations concernant les donateurs et les anciens étudiants, peuvent faciliter l’hameçonnage ciblé, les fausses demandes de dons et l’usurpation d’identité. Des attaquants peuvent utiliser des détails sur un lien passé avec Harvard pour rendre un message crédible.

Il n’a pas été confirmé que des mots de passe avaient été touchés, mais des messages personnalisés reçus par e-mail, par téléphone ou par courrier postal peuvent être plus convaincants. Les communications demandant une vérification de compte, un remboursement de don ou une transaction urgente appellent une vigilance particulière.

Vérifiez toute demande inattendue prétendant provenir de Harvard ou d’une organisation liée à l’université par un canal officiel connu, sans utiliser les liens du message. Ne communiquez à aucun interlocuteur téléphonique de code à usage unique, de mot de passe ou d’informations financières.

Activez l’authentification multifacteur sur vos comptes de messagerie, vérifiez les sessions inhabituelles et signalez les messages suspects. Les donateurs et les anciens étudiants doivent également rester attentifs aux tentatives d’ingénierie sociale impliquant de fausses factures, des changements d’adresse ou des demandes de paiement.