Harvard: 851 mil e-mails do vazamento de 2025, só agora contados
Harvard University
claimed on · assessed on
O vazamento de Harvard é real e a própria universidade o confirmou. Ele não é novo: a invasão foi descoberta em 18/11/2025, o ator publicou os dados em 04/02/2026, e a notícia de novembro de 2026 é a indexação pelo Have I Been Pwned (HIBP), que contou cerca de 851 mil e-mails únicos. Harvard nunca publicou um número de afetados.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
Harvard confirmou a intrusão nos sistemas de Alumni Affairs and Development e o vetor (phishing por telefone). Esse fato não depende da alegação do ator.
O conjunto vazado é dado autêntico de Harvard. A análise de uma amostra pelo TechCrunch e a análise do HIBP batem com as categorias que Harvard descreveu. Falsificável: uma análise independente que mostre dados reciclados de outra origem desmentiria isso.
A distância entre o alegado (mais de 1 milhão de registros) e o contado pelo HIBP (cerca de 851 mil e-mails únicos) não sustenta o veredito 'inflated'. As duas unidades são diferentes: registro não é e-mail único. Sem número da vítima, a escala real de pessoas afetadas é desconhecida. A cifra de 851 mil mede e-mails, não pessoas.
A cifra de ~115 mil registros, repetida em análises secundárias, não representa o total vazado. Ela conflita com a contagem do HIBP e a origem do número não está documentada. Provavelmente descreve um subconjunto ou um arquivo específico do dump.
ShinyHunters é o responsável pela publicação dos dados e, muito provavelmente, pela intrusão. O grupo reivindicou o ataque, divulgou o material em seu site de vazamentos depois da recusa de pagamento, e o HIBP e a imprensa o associam ao caso. Harvard não atribuiu o ataque a nenhum grupo. Quem publica não é necessariamente quem invadiu.
Não há evidência pública de SSN, senhas ou dados de cartão no vazamento. Isso é coerente com a afirmação de Harvard de que os sistemas 'geralmente' não os guardam. A ausência de evidência não prova a ausência dos dados, porque o dump completo não foi auditado publicamente.
Analysis
O registro do Vexday trata isto como alegação não verificada, com data de 2026-11-03. Isso precisa de correção em três pontos. A data é a da indexação no HIBP e da matéria do BleepingComputer, não a do incidente (descoberta em 2025-11-18; publicação pelo ator em 2026-02-04). O selo 'claimed' está desatualizado, porque Harvard confirmou publicamente a intrusão. O veredito 'unverified' também está desatualizado, porque o caso é real. O nome da vítima no registro é uma manchete e deve ser 'Harvard University'.
O que Harvard admite: em 18/11/2025 descobriu acesso não autorizado a sistemas de Alumni Affairs and Development por phishing por telefone, removeu o acesso do atacante e acionou especialistas externos e autoridades. A universidade lista e-mails, telefones, endereços residenciais e comerciais, presença em eventos, detalhes de doações e dados biográficos de captação. Diz que os sistemas geralmente não contêm SSN, senhas, cartões ou dados financeiros. Entre os afetados estão ex-alunos, cônjuges, viúvos, doadores, pais e alguns estudantes, docentes e funcionários. Na primeira comunicação, a universidade disse não saber exatamente o que foi acessado. Harvard não atribuiu o ataque a nenhum grupo e não publicou número de afetados nas fontes que li.
O que o ator alega: o ShinyHunters afirma ter roubado mais de 1 milhão de registros com dados pessoais e de doação. Publicou o material em 04/02/2026, depois que Harvard recusou pagar. O BleepingComputer e uma fonte secundária (Mezha, não verificada) citam um arquivo de 1,1 GB. A análise do TechCrunch, relatada pelo SC Media, achou que a amostra confere com as categorias que Harvard descreveu. A cobertura posterior atribui ao dump dados de patrimônio estimado e atributos demográficos. A única fonte primária de que dispomos sobre esses atributos é uma reportagem de segunda mão, então trato-os como alegação.
O que a análise independente demonstra: o HIBP processou o material e contou cerca de 851 mil e-mails únicos (um agregador cita 850.537). Pelo relato do BleepingComputer, 64% já constavam no HIBP. O HIBP descreve nomes, e-mails, datas de nascimento, telefones, endereços e perfis em redes sociais, além de perfis extensos de doadores, ex-alunos e pais. A unidade importa. O HIBP conta e-mails únicos, não pessoas e não linhas. A matéria do BleepingComputer e outras repetem 'contas' ou 'accounts', o que não é o que o HIBP mede. Uma pessoa com dois e-mails conta duas vezes. Registros sem e-mail ficam fora da contagem.
A distância entre os números: o ator fala em mais de 1 milhão de registros, e o HIBP fala em ~851 mil e-mails únicos. São grandezas diferentes e não há prova de que o ator tenha inflado o volume. Um dump com 1 milhão de linhas pode render 851 mil e-mails únicos sem contradição. Em contraste, algumas análises secundárias falam em ~115 mil registros. Essa cifra parece vir de uma análise da InfoStealers sobre o conteúdo do vazamento. A matéria não explica a base do número e ele conflita com a contagem do HIBP. Não o adoto. A comparação com a UPenn serve de cautela, não de prova: o Cybernews relata que o ator alegou 1,2 milhão de registros da UPenn, enquanto uma ação judicial teria apontado menos de 10 pessoas afetadas. Isso não se transfere para Harvard, mas mostra por que o número do ator não deve ser usado sozinho.
O que ainda não está claro: Harvard não explicou como o phishing por telefone virou acesso (credencial de SSO, help desk, enrolamento de dispositivo de MFA). A cobertura sobre o modus operandi do ShinyHunters descreve esse padrão, mas aplicar isso a Harvard é inferência. O texto de Yahoo/TechCrunch liga SSO e vishing à UPenn e não demonstra o mesmo para Harvard. Também não achei manifestação de regulador. O direito de Massachusetts, segundo o DataBreaches.net, não impõe prazo fixo de notificação e os elementos informados provavelmente não acionam notificação individual obrigatória. Não encontrei listagem de Harvard nesse caso no Procurador-Geral de Massachusetts.
Duas confusões a evitar. Harvard teve outro incidente em 2025: uma exploração do Oracle E-Business Suite atribuída à Clop, com 41 residentes de Massachusetts notificados por exposição de SSN (Comparitech). Não é este caso. Há também a listagem de Harvard na violação da Instructure/Canvas em maio de 2026 (Crimson), que é separada. Uma ação coletiva foi aberta contra Harvard em 11/2025 (Bloomberg Law) e retirada voluntariamente depois, sem prejuízo de reabertura. Não há decisão de mérito.
Timeline
- 18 Nov 2025Harvard descobre que sistemas de Alumni Affairs and Development foram acessados por terceiro não autorizado, após um phishing por telefone.
- 22 Nov 2025Harvard envia e-mail aos afetados e abre página de FAQ. Diz que os sistemas não costumam guardar SSN, senhas, cartões ou contas financeiras. Ainda não sabia exatamente quais dados foram acessados.
- 04 Feb 2026ShinyHunters publica em seu site de vazamentos os dados de Harvard e da UPenn, depois de negociações de extorsão fracassadas. Alega mais de 1 milhão de registros de Harvard. O TechCrunch verifica parte da amostra.
- 08 May 2026Incidente separado: ShinyHunters lista Harvard entre as escolas supostamente afetadas por violação da Instructure (Canvas). Não está ligado ao caso de alumni.
- 03 Nov 2026O HIBP adiciona o vazamento de Harvard (cerca de 851 mil e-mails únicos). O BleepingComputer publica a matéria no mesmo dia.
Data involved
Impact
Afetados: ex-alunos, cônjuges e viúvos, doadores, pais de estudantes e parte de estudantes, docentes e funcionários. Pelo HIBP, cerca de 851 mil e-mails únicos. O dado vazado é de contato, relacionamento e doação. Não há evidência pública de SSN, senhas ou cartões. Na prática, o risco é phishing e golpe de engenharia social direcionados, com contexto real (doações, eventos, vínculos), contra pessoas com perfil de doador. A exposição de dados de doações e de relacionamento pode aumentar a credibilidade de fraudes que se passam por Harvard. A universidade já alertou para comunicações suspeitas que mencionam o incidente.
Technical links
Recommendations
- Exija verificação forte de identidade no help desk antes de redefinir senha ou MFA. Use um canal de retorno já cadastrado, nunca o telefone de quem liga, e proíba o enrolamento de novo dispositivo de MFA sem aprovação em segundo canal.
- Adote MFA resistente a phishing (FIDO2/passkeys) para administradores e usuários de CRM de captação. Alerte quando um novo método de MFA for cadastrado, quando houver login em sessão nova de SSO e quando surgir login após uma chamada ao help desk.
- Monitore exportações em massa em CRM e sistemas de captação (volume, horário, conta). Limite por perfil o acesso a campos sensíveis (patrimônio, relações familiares, valores de doação) e aplique política de retenção para dados de ex-alunos antigos.
- Ensine equipes de relacionamento com doadores a tratar ligações que pedem acesso ou código como tentativa de ataque. Defina um número de retorno oficial e um processo de escalonamento.
- Para quem está na base: trate contatos que citam doações, eventos ou o incidente como suspeitos, não clique em links, confirme por canal oficial, e não forneça código de MFA a ninguém. Use e-mail único por serviço para reduzir o reaproveitamento do endereço exposto.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
Número oficial de pessoas afetadas: só uma divulgação de Harvard (aviso a reguladores ou atualização do FAQ) resolveria. Fonte da cifra de ~115 mil registros: precisa ser rastreada até a análise original, e a publicação dos autores dessa análise esclareceria. Cadeia exata do ataque (credencial de SSO, help desk, MFA): só um relato técnico de Harvard ou de seus peritos resolveria. Dados de patrimônio e demográficos no dump: análise direta do conteúdo por pesquisador independente, ou confirmação de Harvard. Presença de SSN ou dados financeiros no dump: auditoria independente do conteúdo completo. Atribuição formal: Harvard ou autoridade policial precisaria atribuir o ataque. O ator que publicou é o mesmo que invadiu?: só indicadores técnicos ou acusação formal responderiam. Manifestação de reguladores sobre notificação: consulta ao Procurador-Geral de Massachusetts e a outros estados resolveria. Por que o HIBP só indexou um ano depois: o cronograma da análise do HIBP não foi explicado nas fontes que li.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.