Fuite des anciens et donateurs de Harvard : 851 000 adresses courriel dans Have I Been Pwned

Il y a un an, l’Université Harvard a dit que quelqu’un était entré dans les systèmes qu’utilise son bureau des relations avec les anciens et du développement, après une attaque d’hameçonnage par téléphone. À l’époque, Harvard ne pouvait pas dire combien de personnes étaient touchées. Le 3 novembre 2026, le service d’avis de fuites Have I Been Pwned (en anglais) a ajouté les données divulguées : 850 537 comptes, soit environ 851 000 adresses courriel uniques. Si vous êtes diplômé, donateur, parent ou membre du personnel de Harvard, voici ce que cela signifie.

Ce qui s’est passé

Selon la page d’incident de Harvard (en anglais), l’université a découvert le 18 novembre 2025 qu’une personne non autorisée avait accédé aux systèmes d’information du bureau des relations avec les anciens et du développement, à la suite d’une attaque d’hameçonnage par téléphone. Elle dit avoir coupé l’accès de l’attaquant immédiatement et travailler avec les forces de l’ordre et des experts en sécurité externes.

Harvard n’a pas nommé les responsables. Le groupe d’extorsion ShinyHunters a revendiqué l’attaque et, au début de février 2026, a publié ce qu’il présentait comme les données volées (en anglais) sur son site de fuites après le refus de Harvard de payer, selon TechCrunch. Le groupe a dit à TechCrunch que l’attaque faisait partie d’une vague d’hameçonnage visant Okta et d’autres fournisseurs d’authentification unique, le même genre d’attaque que nous décrivons dans L’appel téléphonique derrière les plus grosses fuites de 2026. BleepingComputer (en anglais) rapporte que la fuite était une archive de 1,1 Go. Have I Been Pwned a maintenant analysé et vérifié ces données.

Qui est touché et ce qui a été exposé

Harvard dit que ces systèmes contiennent des renseignements sur les anciens, leurs conjoints, partenaires et veufs ou veuves, les donateurs, les parents d’étudiants actuels et anciens, ainsi que certains étudiants, professeurs et membres du personnel.

Harvard a dit que ces systèmes comprennent adresses courriel, numéros de téléphone, adresses résidentielles et professionnelles, participation à des événements, détails des dons et d’autres renseignements biographiques utilisés pour la collecte de fonds et les relations avec les anciens. La fiche de Have I Been Pwned est plus précise. Elle énumère ces types de données dans la fuite :

• noms, formules d’appel et noms de membres de la famille
• adresses courriel, numéros de téléphone et adresses postales
• dates de naissance, lieux de naissance et statuts de citoyenneté
• genres, origines ethniques et états civils
• niveaux de scolarité, employeurs, titres de poste et professions
• dons de bienfaisance
• profils de réseaux sociaux

Chaque dossier ne contient pas forcément tous ces champs. Harvard dit que ces systèmes ne contiennent généralement pas de numéros de sécurité sociale, de mots de passe, de données de carte de paiement ni de numéros de compte financier.

Pourquoi c’est important

Ce n’est pas le genre de fuite qui vide un compte bancaire. C’est le genre qui rend une arnaque convaincante. Un message qui connaît votre année de diplôme, votre employeur, le nom de votre conjoint et le montant de votre don de l’an dernier peut ressembler exactement à un vrai appel de collecte de fonds ou à une invitation des anciens. Les renseignements sur les donateurs indiquent aussi à un fraudeur qui est susceptible de donner de l’argent, et combien.

Harvard conseille de se méfier des appels, textos ou courriels inattendus qui demandent des renseignements sensibles ou de réinitialiser un mot de passe, même s’ils semblent venir de collègues ou de partenaires de confiance, y compris d’un service d’assistance informatique.

Ce que vous pouvez faire

1. Vérifiez si votre adresse y figure. Cherchez votre adresse sur Have I Been Pwned (en anglais).
2. Soyez prudent avec les demandes de dons. Si quelqu’un vous appelle ou vous écrit pour un don, un versement de promesse de don ou des données de carte, ne payez pas par son lien ni au téléphone. Donnez par le site officiel de Harvard ou appelez un numéro que vous avez trouvé vous-même.
3. Ne faites pas confiance à un message simplement parce qu’il vous connaît. Votre année de diplôme, vos renseignements familiaux et votre historique de dons sont maintenant dans une fuite publique.
4. Raccrochez si un faux « soutien informatique » vous appelle à l’improviste. L’attaque d’origine a commencé par un appel. Ne lisez jamais un code à voix haute et n’approuvez jamais une demande de connexion que vous n’avez pas lancée.
5. Posez vos questions à Harvard. Sa page d’incident indique cyberincident@harvard.edu et le 1-833-556-4315.
6. Rendez votre adresse plus difficile à trouver. Si vous êtes au Canada, notre guide pour vous retirer des courtiers en données au Canada couvre les sites de recherche de personnes qui publient des adresses.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned, qui comprend maintenant celle-ci. Les alias de courriel de Frame vous permettent aussi de donner à chaque organisation sa propre adresse, pour qu’une fuite n’atteigne pas tout. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• L’appel téléphonique derrière les plus grosses fuites de 2026 : comment les appels de faux soutien informatique sont devenus la porte d’entrée de tant d’organisations.
• De faux appels du soutien technique ont permis d’entrer dans au moins quatre cabinets d’avocats canadiens : la même tactique téléphonique, visant des cabinets d’avocats canadiens.

Sources

• Have I Been Pwned, Harvard Data Breach (en anglais), ajoutée le 3 novembre 2026
• Harvard University Information Technology, Recent cybersecurity incident information and FAQ (en anglais), 22 novembre 2025, mise à jour le 19 décembre 2025
• BleepingComputer, Harvard University data breach exposed info of 851,000 accounts (en anglais), 3 novembre 2026
• TechCrunch, Hackers publish personal information stolen during Harvard, UPenn data breaches (en anglais), 4 février 2026