Por Canuto  

Have I Been Pwned identificó más de 850.000 direcciones de correo únicas en archivos vinculados al ataque de phishing que sufrió Harvard en 2025. Los registros incluyen datos personales y de donaciones, aunque no todos corresponden necesariamente a cada persona afectada.

***

  • HIBP contabilizó más de 850.000 correos electrónicos únicos en los archivos relacionados con la intrusión.
  • La información hallada incluye nombres, fechas de nacimiento, domicilios, teléfonos, datos familiares y registros de donaciones.
  • Harvard describió el incidente como un ataque de phishing telefónico; ShinyHunters se atribuyó la intrusión.

 

 

Have I Been Pwned (HIBP), el servicio de búsqueda y notificación de violaciones de datos utilizado por equipos de seguridad, encontró más de 850.000 direcciones de correo electrónico únicas en archivos vinculados a la brecha de datos que afectó a la Universidad de Harvard en 2025. Esa cifra se refiere a direcciones identificadas en el material analizado y no permite afirmar, por sí sola, cuántas personas tuvieron expuestos los mismos datos.

El alcance de los datos encontrados

El servicio, operado por el investigador de seguridad Troy Hunt, revisó los archivos y señaló que el material incluía categorías de información más amplias que las mencionadas en la divulgación inicial de Harvard. La cantidad calculada por HIBP corresponde a correos únicos, no necesariamente a un registro completo por persona.

Entre los datos que aparecían en los archivos se encontraban nombres, fechas y lugares de nacimiento, etnia, género, estado civil y ocupación. También figuraban cargos laborales, direcciones físicas y de correo electrónico, números telefónicos, saludos, perfiles de redes sociales, ciudadanía y nivel educativo.

El conjunto incluía además nombres de familiares, empleadores y registros de donaciones caritativas. HIBP advirtió que esos campos no necesariamente estaban presentes para cada individuo. La presencia de una categoría en el archivo no demuestra que todos los registros contengan esa información.

La variedad de datos combina identificadores de contacto con detalles personales, familiares, laborales y filantrópicos. Sin atribuir usos concretos a los archivos, la presencia de distintos tipos de información muestra por qué las consecuencias de una brecha institucional pueden variar según los datos asociados a cada registro.

Phishing telefónico y atribución a ShinyHunters

Harvard informó que el martes 18 de noviembre de 2025 detectó acceso no autorizado a sistemas de Asuntos de Exalumnos y Desarrollo. La universidad describió el incidente como un ataque de phishing por teléfono. La institución publicó información y respuestas a preguntas frecuentes en su sitio oficial.

La universidad no identificó públicamente al responsable en esa divulgación inicial. ShinyHunters se atribuyó el ataque el mismo día en que incluyó a Harvard en su sitio de filtraciones y afirmó haber sustraído más de un millón de registros de la institución.

La diferencia entre esa afirmación y la cifra de HIBP debe leerse con cuidado: el grupo habló de registros robados, mientras que el servicio de Troy Hunt calculó correos electrónicos únicos. Son medidas distintas y, por sí solas, no permiten concluir que cada registro equivalga a una persona diferente ni que todos los datos publicados por los atacantes estén completos.

Un reporte de The Register fechado el 3 de noviembre de 2026 indicó que Harvard no respondió de inmediato a sus solicitudes de más información. La estimación de HIBP ofrece una referencia cuantitativa sobre las direcciones presentes en los archivos analizados, pero no supone una confirmación de la universidad sobre el total de personas afectadas.

El antecedente de Penn y otros incidentes

En el mismo período, ShinyHunters también incluyó a la Universidad de Pensilvania en su sitio y aseguró que había obtenido 1,2 millones de registros de esa institución. HIBP estimó que las personas afectadas en Penn rondaban las 623.800, usando también direcciones de correo electrónico únicas para hacer el cálculo.

Los archivos relacionados con Penn incluían categorías adicionales como donaciones, información de identificación personal y religión, según la información reportada. El contraste vuelve a mostrar que el conteo de correos únicos y la lista de tipos de datos describen dimensiones diferentes de una brecha y no deben presentarse como si fueran una sola medida.

El ataque atribuido a ShinyHunters ocurrió aproximadamente un mes después de que Harvard investigara otro incidente, esta vez vinculado a Cl0p. En ese caso, el grupo criminal explotaba una vulnerabilidad de día cero en Oracle E-Business Suite, pero el impacto en Harvard se limitó a una pequeña cantidad de datos pertenecientes a una unidad administrativa reducida.

La universidad también afrontó otro episodio relacionado con ShinyHunters a comienzos de 2026, cuando el grupo atacó a Instructure, proveedor de tecnología educativa detrás de la plataforma Canvas. Harvard desconectó su sitio de Canvas mientras Instructure gestionaba las tareas de respuesta, aunque la institución no comentó oficialmente si ese incidente comprometió datos universitarios.

Qué permiten concluir las cifras

La estimación de más de 850.000 correos únicos dimensiona la cantidad de direcciones encontradas en los archivos analizados, pero no equivale necesariamente a una lista verificada de víctimas con todos sus datos expuestos. La información disponible tampoco detalla cuántas personas tenían cada uno de los campos sensibles mencionados por HIBP.

La descripción de Harvard sitúa el acceso inicial en un ataque de phishing telefónico dirigido a un departamento concreto, mientras que el análisis posterior amplía el panorama sobre los tipos de información presentes en los archivos. Ambas piezas aportan elementos distintos: una se refiere al método y al área alcanzada; la otra, al contenido del material revisado.

El caso también refleja por qué las cifras divulgadas por grupos criminales y las estimaciones de investigadores externos no siempre son comparables. ShinyHunters afirmó haber robado más de un millón de registros, pero HIBP contabilizó direcciones de correo únicas; sin un desglose adicional, no corresponde convertir automáticamente una cifra en la otra.

Por ahora, los datos presentados permiten afirmar que los archivos vinculados al ataque de 2025 contenían más de 850.000 direcciones de correo únicas e información personal y de donaciones de diversa índole. La universidad no había respondido a la consulta citada por The Register, y no se aportó una confirmación institucional posterior que precise el número final de personas afectadas.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados