HIBPの調査でハーバード大学の情報漏えい、85万1000件のメールアドレスが流出と判明

2025年11月に発生したハーバード大学のデータ侵害について、被害の規模がより明確になりました。漏えい情報を収集する「Have I Been Pwned（HIBP）」に登録されたレコードには、約85万1000件の固有のメールアドレスが含まれています。

HIBPがこのデータセットを追加したのは2026年11月3日で、ハーバード大学の同窓会・寄付関連部門（Alumni Affairs and Development）のシステムへの侵入から、ほぼ1年がたっていました。85万1000件という数字は、被害が確認された人数ではなく、固有のメールアドレスの数です。ただし、このレコードには、卒業生、寄付者、保護者、一部の学生や職員に関する寄付履歴や個人情報も含まれています。こうした情報は、攻撃者が大学の関係者になりすましたり、より巧妙なフィッシングメールを作成したりするのに悪用される恐れがあります。

HIBP、寄付者と卒業生の詳細情報を確認

HIBPの登録情報によると、固有のアドレスは約85万500件です。データの種類には、氏名、電話番号、住所、生年月日、勤務先、寄付情報、市民権の区分、民族、家族の氏名などが含まれます。ただし、すべてのレコードがすべての項目を含んでいるとは限りません。

ハーバード大学の発表によると、同大学は2025年11月18日、電話を使ったフィッシング攻撃を受けた後に侵入を発見しました。インシデントの通知では、不正アクセスを排除し、「それ以上の不正アクセスの証拠はない」としています。また、影響を受けたシステムには、パスワード、社会保障番号、決済カード情報、銀行口座情報は一般に含まれていなかったとも説明しています。

ShinyHunters、先行する流出で犯行を主張

BleepingComputerによると、ShinyHuntersはこの侵害について犯行を主張し、2026年2月に1.1GBのアーカイブを公開しました。同グループは、アーカイブに100万件を超えるレコードが含まれていると主張しています。 TechCrunchは、公開された情報の一部を検証したと報じています。ただし、ハーバード大学は攻撃をこのグループによるものと公式には認めていません。また、ShinyHuntersが主張するレコード数と、HIBPが集計した固有のメールアドレス数は、混同しないようにする必要があります。

ハーバード大学は2025年11月22日付の通知メールで、どの情報にアクセスされたのかを正確には特定できていないと説明していました。2026年11月のHIBPの登録情報は、データセットの規模と報告されたデータの種類を示していますが、個人ごとにどの情報が流出したかまでは明らかにしていません。この登録情報は、2025年11月の侵害に関するものです。

ShinyHuntersは、2026年5月に発生した Instructure Canvasをめぐる別の攻撃にも関与したとされています。この攻撃では、ハーバード大学を含む複数の大学でログインポータルが使えなくなりました。ただし、こちらは別のプラットフォームで起きた事案であり、大学の同窓会・寄付者データの侵害との関連は確認されていません。

詳細なプロフィールが卒業生・寄付者への連絡を危険にさらす

詐欺師が、ある人物の勤務先、過去の寄付、家族関係を把握していれば、同窓会イベントや寄付の約束、連絡先の更新依頼といったもっともらしいメッセージを送れます。引用元の情報源では、このデータセットを使ったフィッシングキャンペーンが確認されたという報告はありません。それでも、こうした情報があれば、詐欺メールや詐欺電話と大学からの正規の連絡を見分けにくくなる可能性があります。

ハーバード大学の関係者や関連組織が取るべき対応は、次のとおりです。

• 卒業生と寄付者：該当するメールアドレスを Have I Been Pwnedで確認してください。ハーバード大学の侵害が結果に表示された場合、そのアドレスがデータセットに含まれていたことを意味しますが、パスワードが盗まれた証拠にはなりません。心当たりのない寄付の依頼、アカウント確認、支払い要求は不審なものとして扱い、ハーバード大学の連絡先を自分で調べたうえで確認してください。
• 大学のIT部門：同窓会記録にアクセスしたりエクスポートしたりできるのは誰かを見直し、一括ダウンロードを制限し、寄付者データベースを扱う職員の認証を強化します。ヘルプデスクには、アクセスやアカウント変更を求める電話の相手に厳しく確認する訓練を実施します。今回の侵入が 電話を使ったフィッシングによるものだったことを踏まえると、特に重要です。
• 寄付推進・サポート部門：確認済みのチャネルを通じて問い合わせに答えられるよう準備します。対応方針を統一し、攻撃者が大学のサポート担当者を装って混乱に乗じることを防ぎます。また、個人の経歴を示す非公開情報に言及した不審なメッセージは報告するよう、受信者に呼びかけます。

パスワードとは異なり、寄付者の履歴、家族の氏名、職業上のつながりは、流出した後にリセットすることができません。攻撃者はこうした情報を使って、偽の寄付依頼や支払い要求をもっともらしく見せかける可能性があります。実際の寄付や個人的なつながりに言及したメッセージは、本人確認の証拠ではなく、検証すべき主張として扱うべきです。

寄付推進・サポート部門は、支払い情報や寄付者アカウント情報の変更依頼を確認する明確な手順を整備する必要があります。職員は、受信したメッセージに記載された電話番号やリンクではなく、信頼できる記録にすでにある連絡先を使って、通常と異なる依頼を確認してください。ヘルプデスクも、流出した個人の経歴情報だけを根拠にパスワードのリセットやアカウント復旧を行うことは避けるべきです。

大学は、寄付者や卒業生の情報をどれだけの期間保持するか、誰にアクセス権が必要か、異常なエクスポートがあったときにアラートが出るかどうかも見直すべきです。 ミシシッピ大学医療センターの診療所が閉鎖に追い込まれたランサムウェア攻撃は、サイバーインシデントがもたらす別の影響、つまり業務の中断を示しています。ハーバード大学の事例は、侵入を封じ込めるだけでなく、流出した情報が今後のなりすましに悪用されかねない人々への継続的な注意喚起も欠かせないことを示しています。

関連記事：機密性の高い大学の記録は、本番システムの外でも流出する恐れがあります。 約52万5000人に影響したコペンハーゲン大学の情報漏えいがその一例です。