La brecha de Harvard ya tiene cifra cerrada en Have I Been Pwned: 850.500 cuentas y cerca de 851.000 correos electrónicos únicos. El servicio de consulta de filtraciones sumó el conjunto de datos el 3 de noviembre, casi un año después del robo, y dejó el alcance del caso abierto a cualquiera que quiera comprobar su dirección en dos minutos.
El ataque no tocó las aulas ni los laboratorios. Cayó sobre los sistemas de Alumni Affairs and Development, la oficina que mantiene el contacto con los egresados y mueve la recaudación de fondos de la universidad. Ahí duermen fichas muy completas: nombres, correos, teléfonos, direcciones de casa y de trabajo, fechas de nacimiento, empleadores, cargos, perfiles en redes sociales, nombres de familiares, registros de asistencia a eventos y el historial de donaciones de cada persona.
Have I Been Pwned redondea la foto con un detalle que la nota original de Harvard dejaba dentro de una frase amplia, la «información biográfica». Su ficha separa esa categoría en piezas concretas, y la lista incluye estado civil, ciudadanía y lugar de nacimiento. No es lo mismo perder un correo suelto que perder la ficha entera de un donante con su trayectoria de aportes año por año.
Una llamada telefónica abrió la puerta en 2025
Harvard descubrió la intrusión el 18 de noviembre de 2025. La entrada fue un ataque de suplantación por teléfono, la variante con voz del phishing de siempre: alguien convence a un empleado, obtiene acceso y entra a los sistemas de la oficina de exalumnos y desarrollo. La universidad bloqueó al intruso, llamó a expertos externos de seguridad y avisó a las autoridades; el 22 de noviembre escribió por correo a las personas que podían estar afectadas.
El círculo de posibles afectados es ancho. Entran egresados, sus parejas y viudos, donantes, padres de estudiantes actuales y de promociones pasadas, parte del alumnado en curso y parte del personal docente y administrativo. Harvard reúne más de 400.000 egresados vivos repartidos por el mundo, y su base de relaciones guarda fichas de varias generaciones, lo que explica una cifra de correos mayor que la de exalumnos solos.
Esa misma temporada de otoño de 2025 dejó casos gemelos en la misma liga universitaria. Princeton y la Universidad de Pensilvania reportaron intrusiones contra bases de donantes y egresados con pocos días de diferencia. El patrón se repite porque esas oficinas concentran datos personales ricos y sistemas con menos capas de defensa que un banco, una combinación cara cuando cae en manos de extorsionadores. La detección automática que Microsoft prepara contra el phishing en Teams apunta a ese mismo eslabón humano, el empleado que recibe la llamada o el mensaje y abre la puerta sin saberlo.
Qué datos quedaron fuera del robo y qué reclaman los extorsionadores
Klara Jelinkova, vicepresidenta y directora de información de la universidad, dejó escrito el límite del daño en el aviso oficial: esos sistemas no guardan, por norma, números de Seguro Social, contraseñas, datos de tarjetas de pago ni información de cuentas financieras. Have I Been Pwned coincide en lo esencial, porque su ficha tampoco lista contraseñas entre el material robado. Quien aparezca en la consulta no necesita cambiar claves por este caso; su riesgo llega por otra vía.
El riesgo real tiene forma de mensaje bien escrito. Con nombre completo, empleador, historial de donaciones y eventos asistidos, un estafador arma una petición falsa de donativo que suena legítima hasta en el monto. La banda de extorsión ShinyHunters reclamó la autoría del robo, habló de más de un millón de registros y publicó en febrero un archivo de 1,1 GB en su sitio de filtraciones, tras la negativa de Harvard a pagar por la devolución y el borrado de los datos. La universidad no ha atribuido el ataque a ningún grupo, y esa distancia entre el reclamo de la banda y la palabra oficial sigue abierta.
Las dos cifras del caso conviene no mezclarlas. El millón largo de registros sale del conteo de los propios extorsionadores, sin auditoría externa. Las 850.500 cuentas y los 851.000 correos únicos salen del análisis que Have I Been Pwned hizo sobre el archivo publicado, contando direcciones distintas una sola vez. Un mismo registro puede traer varios correos y una misma persona puede aparecer con más de una dirección, así que el número exacto de personas afectadas sigue sin cerrarse.
La comprobación práctica toma un minuto: la persona escribe su correo en Have I Been Pwned y busca «Harvard» entre los resultados; si aparece, su ficha estuvo en el archivo que la banda repartió en febrero. La brecha de Harvard entra así en la lista de casos que Have I Been Pwned convierte en consulta pública permanente, y cada donante que reciba una petición de aporte con datos demasiado precisos tiene desde esta semana una razón concreta para verificar el remitente por otro canal antes de pagar un solo dólar.
Fuente: BleepingComputer
