Harvard veri ihlali: 850 bin hesabın bilgileri sızdırıldı

Harvard Üniversitesi'ne yönelik Kasım 2025'teki siber saldırıda çalınan verilerin kapsamı netleşti. Sızdırılan arşivi inceleyen Have I Been Pwned (HIBP), yaklaşık 850.500 hesaba ait verinin ele geçirildiğini duyurdu. Yüz binlerce e-posta adresi, ihlal takip veritabanlarında ve karanlık ağ arşivlerinde ortaya çıktı. Aynı ihlalde bazı kişilere ait kapsamlı profil bilgileri de sızdırıldı.

Saldırıyı üstlenen ShinyHunters adlı şantajcı grup, üniversiteyle yürütülen pazarlıkların sonuçsuz kalmasının ardından verileri yayımlamıştı. Sızıntının ne kadar kişiyi etkilediği o dönemde bilinmiyordu; arşivin analizi artık somut bir rakam ortaya koydu.

Saldırı nasıl gerçekleşti

Kasım 2025'in sonunda Harvard, Mezunlar İşleri ve Bağış Geliştirme sistemlerinin ele geçirildiğini doğruladı. Saldırı, sesli oltalama olarak bilinen vishing yöntemiyle gerçekleştirilmişti. Etkilenen sistemlerde mezunlar, bağışçılar, bazı akademik ve idari personel ile bazı mevcut öğrencilere ait bilgilerin yanı sıra bunların eş, partner ve ebeveynlerine dair veriler de bulunuyordu. Eski ve mevcut öğrencilerin de olaydan etkilendiği belirtilmişti.

Üniversitenin açıklamasına göre ele geçirilen veriler arasında e-posta adresleri, telefon numaraları, ev ve iş adresleri, etkinlik katılım kayıtları, bağış ayrıntıları ve mezun ilişkileri ile bağış toplama faaliyetlerine dair biyografik bilgiler yer alıyordu. Sosyal güvenlik numaraları, parolalar, ödeme kartı bilgileri ve diğer finansal veriler ise etkilenmedi.

Harvard o dönemde saldırganların kimliğini açıklamadı. Ancak ShinyHunters adlı şantajcı grup kısa süre sonra saldırının sorumluluğunu üstlendi.

Sızdırılan verilerin kapsamı

ShinyHunters, bir karanlık ağ forumundaki yeni girişinde bir milyonu aşkın kişisel veri kaydı ile bağış verilerini çaldığını öne sürmüştü. Üniversiteyle yürütülen pazarlıklar sonuçsuz kalınca grup, şubat ayının başında 1,1 GB'ı aşan belgeyi yayımladı. O sırada kimse kaç kişinin etkilendiğini tam olarak bilmiyordu.

HIBP, sızdırılan arşivi kapsamlı biçimde analiz ederek 850.500 hesabın etkilendiğini belirtti. Sitenin aktardığına göre sızan bilgiler arasında adlar, e-posta adresleri, doğum tarihleri, telefon numaraları, posta adresleri ve sosyal medya profilleri bulunuyor.

HIBP'nin ifadesiyle veriler, üniversitenin mezun ve bağış sistemleriyle ilişkili 851 bin benzersiz e-posta adresini içeriyor. Bunların yanında bağışçılar, mezunlar, ebeveynler ve bazı akademik ve idari personel ile öğrenciler için ayrıntılı profil bilgileri de arşivde yer alıyor.

Üniversitelere yönelik saldırı dalgası

Harvard, ShinyHunters'ın kısa süre içinde hedef aldığı üçüncü üniversite oldu. Daha önce Princeton Üniversitesi ve Pennsylvania Üniversitesi'nde de benzer olaylar yaşanmıştı. Grup, Kasım 2025'in başında Penn'e yönelik saldırıyı üstlendiğinde yaklaşık 1,2 milyon öğrenci, mezun ve bağışçıya ait veri çaldığını öne sürmüştü.

Kimliği açıklanmayan bir saldırgan, bir üniversite çalışanının PennKey tek oturum açma hesabına tam erişim sağladıklarını söylemişti. Bu hesap üzerinden Penn'in VPN'ine, Salesforce verilerine, Qlik analiz platformuna, SAP iş zekâsı sistemine ve SharePoint dosyalarına ulaşılmıştı. Penn, saldırının sosyal mühendislik yoluyla yapıldığını açıkladı. Çok faktörlü kimlik doğrulama çoğu çalışan için zorunlu olsa da, aktarılan bilgilere göre bazı üst düzey yöneticilerin bu adımı atlamasına izin verilmişti.

Penn yönetimi başlangıçta saldırganlara atfedilen e-postaları açıkça sahte olarak nitelendirmiş, ardından geri adım atarak olayı doğrulamıştı. Üniversite, sistemlerin hızla kilitlendiğini ve yetkisiz erişimin sürmesinin engellendiğini, ancak bunun öncesinde bir miktar bilginin alındığını bildirdi. Penn'in soruşturması, hangi bilgilerin ele geçirildiği konusunda sürüyordu.

Art arda yaşanan bu vakalar, üniversitelerin mezun ve bağış toplama sistemlerine yönelik sosyal mühendislik saldırılarının süren bir risk olduğunu bir kez daha gösteriyor.