Data Harvard University Bocor, Informasi 850.500 Akun Alumni dan Donatur Terekspos
Kebocoran data yang menimpa Harvard University pada November 2025 ternyata berdampak lebih luas dari yang sebelumnya diketahui. Hasil analisis terbaru mengungkap bahwa informasi pribadi yang berkaitan dengan sekitar 850.500 alamat email unik telah terekspos dalam insiden tersebut.
Temuan ini dikonfirmasi oleh layanan pemantauan kebocoran data Have I Been Pwned (HIBP) pada 3 November 2026, setelah menganalisis data yang sebelumnya dipublikasikan oleh kelompok pemerasan siber ShinyHunters.
Informasi yang terdampak berasal dari sistem Alumni Affairs and Development milik Harvard, yang digunakan untuk mengelola hubungan dengan alumni, donatur, serta berbagai kegiatan penggalangan dana universitas.
Data yang terekspos mencakup nama, alamat email, nomor telepon, alamat tempat tinggal, tanggal lahir, hingga informasi pekerjaan dan riwayat donasi.
Namun, Harvard menegaskan bahwa sistem yang terdampak tidak secara umum menyimpan password, nomor Social Security, informasi kartu pembayaran, maupun nomor rekening keuangan.
Kebocoran Data Berawal dari Serangan Phishing
Harvard pertama kali mengidentifikasi insiden keamanan tersebut pada 18 November 2025, ketika menemukan akses tidak sah terhadap sistem yang digunakan divisi Alumni Affairs and Development.
Menurut pengumuman resmi universitas, penyerang memperoleh akses melalui serangan phone-based phishing, yaitu teknik manipulasi yang menggunakan panggilan telepon untuk mengelabui korban agar memberikan informasi atau melakukan tindakan yang membuka akses ke sistem.
Setelah mendeteksi aktivitas tersebut, tim keamanan Harvard segera mencabut akses penyerang dan mengambil langkah untuk mencegah intrusi lanjutan.
Universitas juga bekerja sama dengan aparat penegak hukum dan perusahaan keamanan siber eksternal untuk menyelidiki insiden tersebut.
Sistem yang terdampak menyimpan informasi mengenai alumni, donatur, orang tua mahasiswa, serta sebagian staf, dosen, dan mahasiswa.
Pada saat pengungkapan awal, Harvard belum dapat memastikan jumlah individu yang datanya telah diakses.
Have I Been Pwned Identifikasi 850.500 Alamat Email
Hampir satu tahun setelah insiden ditemukan, Have I Been Pwned menganalisis kumpulan data yang dipublikasikan oleh kelompok penyerang.
Hasilnya menunjukkan sekitar 850.500 alamat email unik yang berkaitan dengan sistem alumni dan penggalangan dana Harvard.
Data yang ditemukan meliputi beberapa kategori informasi pribadi:
- Nama lengkap dan alamat email.
- Nomor telepon serta alamat fisik.
- Tanggal dan tempat lahir.
- Informasi pekerjaan, jabatan, dan perusahaan.
- Riwayat pendidikan dan kegiatan alumni.
- Informasi keluarga dan hubungan dengan universitas.
- Profil media sosial dan data terkait donasi.
Perlu diperhatikan bahwa angka 850.500 merujuk pada jumlah alamat email unik dalam kumpulan data, bukan jumlah pasti individu yang menjadi korban.
Satu orang dapat memiliki beberapa alamat email yang tercatat dalam sistem universitas.
Meski demikian, jumlah tersebut menunjukkan bahwa kebocoran data memiliki cakupan yang besar, terutama karena informasi yang terekspos tidak terbatas pada kontak dasar.
ShinyHunters Klaim Mencuri Lebih dari Satu Juta Catatan
Kelompok pemerasan siber ShinyHunters sebelumnya mengklaim bertanggung jawab atas serangan terhadap Harvard.
Kelompok tersebut menyatakan berhasil mencuri lebih dari satu juta catatan yang berisi informasi pribadi alumni dan donatur.
Pada awal Februari 2026, ShinyHunters mempublikasikan arsip data berukuran sekitar 1,1 GB melalui situs kebocoran mereka di dark web.
Publikasi tersebut dilaporkan terjadi setelah Harvard menolak tuntutan pembayaran tebusan.
Namun, universitas belum secara resmi mengatribusikan serangan kepada kelompok tertentu.
Dengan demikian, keterlibatan ShinyHunters masih didasarkan pada klaim kelompok tersebut dan keberadaan data yang mereka publikasikan.
Analisis Have I Been Pwned memberikan gambaran lebih jelas mengenai cakupan informasi yang terekspos, tetapi tidak dengan sendirinya mengonfirmasi seluruh klaim penyerang.
Data Alumni dan Donatur Berisiko Disalahgunakan
Walaupun password dan informasi kartu pembayaran tidak termasuk dalam data yang dinyatakan terdampak oleh Harvard, kebocoran informasi pribadi tetap menimbulkan risiko keamanan.
Data seperti nama lengkap, alamat email, nomor telepon, pekerjaan, dan riwayat donasi dapat digunakan untuk menyusun serangan phishing yang lebih meyakinkan.
Sebagai contoh, penyerang dapat mengirimkan email palsu yang mengatasnamakan Harvard dengan mencantumkan informasi kegiatan alumni atau donasi yang benar.
Penerima mungkin lebih mudah mempercayai pesan tersebut karena detail yang diberikan sesuai dengan riwayat mereka.
Informasi tentang keluarga, pekerjaan, dan jabatan juga dapat dimanfaatkan untuk penipuan yang menargetkan individu tertentu atau spear phishing.
Harvard sebelumnya telah mengingatkan komunitasnya agar berhati-hati terhadap panggilan telepon, email, maupun pesan yang meminta informasi sensitif dengan mengatasnamakan layanan IT universitas.
Pengguna disarankan memverifikasi permintaan melalui saluran komunikasi resmi dan tidak memberikan kode autentikasi atau kredensial kepada pihak yang tidak dikenal.
Harvard Bukan Satu-satunya Universitas yang Menjadi Target
Insiden ini menjadi bagian dari meningkatnya serangan siber terhadap institusi pendidikan tinggi di Amerika Serikat.
Pada November 2025, Princeton University dan University of Pennsylvania juga mengungkap kebocoran data yang melibatkan informasi donatur dan alumni.
Harvard sendiri sebelumnya pernah menyelidiki dugaan insiden terpisah yang diklaim oleh kelompok ransomware Clop, berkaitan dengan eksploitasi kerentanan Oracle E-Business Suite.
Namun, belum ada bukti yang menghubungkan insiden Oracle tersebut dengan kebocoran data Alumni Affairs and Development.
Serangan terhadap institusi pendidikan menunjukkan bahwa database alumni dan donatur merupakan target bernilai tinggi karena menyimpan informasi pribadi yang dikumpulkan selama bertahun-tahun.
Dengan sekitar 850.500 alamat email yang teridentifikasi, kebocoran Harvard University menjadi pengingat pentingnya perlindungan data pribadi dan kewaspadaan terhadap phishing, bahkan setelah insiden keamanan dinyatakan telah ditangani.
Sumber: Have I Been Pwned — Harvard Data Breach
