- ハーバード大学の情報漏えいで影響を受けた85万500人分のデータが、侵害追跡データベースやダークウェブのアーカイブに出現
- 流出した情報には、メールアドレス、連絡先、属性情報のほか、卒業生や寄付者の詳細なプロフィールデータも含まれる
- 今回の攻撃は、大学や資金調達システムに対するソーシャルエンジニアリング攻撃が引き続き脅威であることを示している
2025年11月に発生したShinyHuntersによるハーバード大学への侵害を受けて、数十万件のメールアドレスがダークウェブに流出しました。
漏えいしたStolen パスワードを集約し、自分の情報がどのサービスから流出したかを確認できるWebサイト「Have I Been Pwned?（HIBP）」によると、この侵害では一部の人物の「詳細なプロフィール情報」も流出したとのことです。
ハーバード大学が標的に
2025年11月下旬、名門アイビーリーグの同大学は、ボイスフィッシング（ビッシング）攻撃が成功した結果、同大学の同窓会・開発部門（Alumni Affairs and Development）のシステムが侵害されたことを認めました。
これらのシステムには、卒業生、寄付者、一部の教職員、一部の在学生に関する情報のほか、その配偶者、パートナー、親に関するデータも保存されていました。現役の学生や元学生にも影響が及んだとされています。
ハーバード大学はその後まもなく、侵害されたデータにメールアドレス、電話番号、自宅および勤務先の住所、イベントの出席記録、寄付の詳細、さらに「大学の資金調達や卒業生との交流活動に関する経歴情報」が含まれていたことを確認しました。一方、社会保障番号、パスワード、決済カード情報、金融情報は流出していないとしています。
当時、ハーバード大学は攻撃者の名前を明らかにしませんでしたが、悪名高い恐喝グループ「ShinyHunters」がまもなく犯行声明を出しました。ダークウェブのフォーラムに投稿された新たな書き込みで、攻撃者らは個人を特定できる情報（PII）や寄付データを含む100万件超のレコードを盗み出したと主張しました。大学側との交渉が決裂したため、同グループは今年2月上旬に1.1GB超の文書を公開しています。
当時は、正確に何人が影響を受けたのか誰にも分かっていませんでした。しかしHIBPは、流出したアーカイブを詳細に分析した結果、85万500件のアカウントのデータが侵害されたと発表しました。流出したのは、氏名、メールアドレス、生年月日、電話番号、郵便の住所、ソーシャルメディアのプロフィールなどです。
HIBPは「このデータには、同大学の卒業生・資金調達システムに関連する85万1,000件の一意なメールアドレスと、寄付者、卒業生、保護者、一部の教職員や学生の詳細なプロフィール情報が含まれていた」と説明しています。
大学を狙う攻撃
ShinyHuntersに「陥落」したハーバード大学は、プリンストン大学、ペンシルベニア大学に続き、わずか数週間のうちに侵害を受けた3校目の大学となりました。
2025年11月上旬、ShinyHuntersはペンシルベニア大学（Penn）への攻撃について犯行声明を出し、学生、卒業生、寄付者およそ120万人分のデータを盗んだと主張しました。
当時、身元不明の攻撃者はメディアに対し、大学職員のPennKeyシングルサインオン（SSO）アカウントへの「フルアクセス」を得たと語りました。これにより、PennのVPN、Salesforceのデータ、Qlik分析プラットフォーム、SAPのビジネスインテリジェンスシステム、SharePointのファイルにアクセスできたということです。
攻撃者らはPennを、「無能なウォーク（woke）の連中だらけのクソったれなエリート主義の機関」であり、「セキュリティ対策はお粗末で、実力主義とはほど遠い」と激しく非難しました。
ShinyHuntersはPennのアカウントから送信したメールで、次のように述べています。「我々は、レガシー（親族の卒業生）や寄付者、資格のないアファーマティブ・アクション枠の入学者が好きだから、愚か者を雇い、入学させている。FERPA（あなたたちのデータはすべて流出する）のような連邦法や、SFFAの最高裁判決を破るのが大好きだ」
ペンシルベニア大学は当初、これらのメールを「明らかに偽物」で「不正なもの」と説明していましたが、のちに撤回し、インシデントを認めました。
同大学は続報で、次のように述べています。「Pennの職員は迅速にシステムを遮断し、さらなる不正アクセスを防ぎました。しかし、攻撃的で不正なメールがコミュニティに送信され、攻撃者に情報が持ち出されたことは防げませんでした。Pennは現在も、この間に取得された情報の内容について調査を進めています」
Pennはまた、この攻撃がソーシャルエンジニアリングによるものだったことも明らかにしました。大半の職員には多要素認証（MFA）の利用が義務付けられていますが、報道によると、一部の幹部はこの手順を免除されていたということです。
