Uma violação de dados na Universidade de Harvard colocou cerca de 850.500 endereços de email numa base de dados identificada pelo serviço Have I Been Pwned. A informação está relacionada com sistemas de antigos alunos e actividades de angariação de fundos da instituição.O incidente teve origem em Novembro de 2025, mas os dados foram catalogados publicamente em Novembro de 2026. A exposição inclui informações pessoais de antigos alunos, doadores, familiares e alguns estudantes e funcionários.
Uma violação descoberta quase um ano depois
A Universidade de Harvard, uma das instituições académicas mais prestigiadas dos Estados Unidos, voltou a estar no centro de uma preocupação relacionada com a segurança digital, depois de uma base de dados com aproximadamente 850 mil endereços de email associados à instituição ter sido identificada pelo serviço Have I Been Pwned.
A informação está ligada a uma violação ocorrida em Novembro de 2025, que comprometeu sistemas utilizados pelo departamento de Alumni Affairs and Development, responsável pelas relações com antigos alunos e pelas actividades de angariação de fundos.
A inclusão dos dados na plataforma de monitorização de violações de segurança aconteceu a 3 de Novembro de 2026, permitindo uma identificação mais clara da dimensão do incidente.
O número divulgado corresponde a endereços de email únicos e não necessariamente a 850 mil pessoas distintas. A base de dados contém ainda informações adicionais associadas a determinados registos.
ShinyHunters associado à divulgação dos dados
O grupo de cibercriminosos ShinyHunters reivindicou responsabilidade pelo ataque e alegou ter obtido mais de um milhão de registos da universidade.
A organização é conhecida por operações de roubo de dados e extorsão digital, nas quais ameaça divulgar informações obtidas ilegalmente caso as vítimas não aceitem pagar um resgate.
Em Fevereiro de 2026, o grupo publicou um arquivo com aproximadamente 1,1 GB de dados, depois de alegadas negociações de resgate não terem resultado num acordo.
Apesar das reivindicações, Harvard não atribuiu publicamente o ataque ao grupo. A ligação aos ShinyHunters resulta de informações sobre a reivindicação e a divulgação dos dados, pelo que a autoria não deve ser considerada oficialmente confirmada pela universidade.
A diferença entre o número de registos alegado pelos atacantes e a quantidade de emails identificada pelo Have I Been Pwned também não significa necessariamente uma contradição, uma vez que as duas contagens utilizam critérios distintos.
