Harvard University ha confirmado una nueva brecha de datos tras un ciberataque de vishing que comprometió los sistemas del departamento de Alumni Affairs and Development, exponiendo información personal de estudiantes, antiguos alumnos, donantes y trabajadores. El incidente, descubierto el pasado 18 de noviembre, vuelve a poner en evidencia el creciente impacto de las técnicas de ingeniería social dirigidas contra instituciones académicas de alto perfil.
La universidad, una de las más prestigiosas del mundo y con más de 400.000 exalumnos a nivel global, explicó que los atacantes lograron acceder a sistemas internos mediante un engaño telefónico. Aunque los sistemas comprometidos contenían información sensible relacionada con actividades de recaudación de fondos y gestión de antiguos alumnos, Harvard asegura que no se vieron afectados datos financieros críticos como números de Seguridad Social, contraseñas o tarjetas de pago.
Qué información se ha expuesto
Los datos consultados por los atacantes incluyen:
-
Direcciones de correo electrónico
-
Teléfonos
-
Direcciones personales y profesionales
-
Historial de asistencia a eventos
-
Registros de donaciones
-
Información biográfica asociada a campañas de recaudación y actividades de alumni
De acuerdo con Klara Jelinkova, vicepresidenta y CIO de Harvard, y Jim Husson, vicepresidente de Alumni Affairs and Development, los datos expuestos afectan a varios colectivos, entre ellos:
-
Antiguos alumnos
-
Cónyuges, parejas o viudos de alumni
-
Donantes
-
Padres de estudiantes actuales o antiguos
-
Algunos estudiantes actuales
-
Miembros del personal y profesorado
Si bien la magnitud total del incidente no ha sido revelada, el volumen de personas potencialmente afectadas podría ser considerable, dado el tamaño de la comunidad universitaria.
Un ataque de ingeniería social que vuelve a poner a las universidades en el punto de mira
El ataque se realizó mediante vishing, una técnica de phishing basada en llamadas telefónicas diseñadas para engañar a los empleados y obtener acceso a sistemas internos. Según la notificación enviada por Harvard el 22 de noviembre, el atacante logró comprometer las credenciales o engañar a un miembro del personal para ejecutar acciones que dieron acceso no autorizado a los sistemas de Alumni Affairs and Development.
Tras detectar la intrusión, la universidad afirma que revocó de inmediato el acceso del atacante y reforzó sus sistemas para evitar nuevas entradas. También está colaborando con las fuerzas de seguridad y con expertos externos en ciberseguridad para esclarecer el alcance completo del incidente.
Harvard advierte a los afectados que permanezcan alerta ante comunicaciones falsas que aparenten proceder de la institución, especialmente aquellas que soliciten datos personales o intenten iniciar procedimientos de restablecimiento de contraseñas. Los atacantes suelen reutilizar información obtenida en brechas de este tipo para lanzar campañas secundarias altamente dirigidas.
Una segunda brecha en menos de dos meses
Este incidente llega pocas semanas después de que Harvard confirmara que investigaba otra brecha tras aparecer listada en el sitio de extorsión del grupo de ransomware Clop. En ese caso, los atacantes aseguraban haber explotado una vulnerabilidad de día cero en los servidores de Oracle E-Business Suite para infiltrarse en los sistemas de la universidad.
La repetición de incidentes ha generado preocupación en la comunidad educativa, especialmente porque se suma a una oleada más amplia que afecta a instituciones de élite. Tanto Princeton University como la University of Pennsylvania revelaron este mes brechas similares que comprometieron información de donantes.
Una amenaza creciente para la educación superior
Las universidades, especialmente aquellas con grandes comunidades de antiguos alumnos y sólidos programas de recaudación de fondos, se han convertido en un objetivo prioritario para los ciberdelincuentes. El valor de sus bases de datos —que combinan perfiles personales, profesionales y financieros— resulta especialmente atractivo para grupos criminales especializados en fraude y extorsión.
Este último ataque refleja, además, la sofisticación creciente del vishing, una técnica que se apoya en la manipulación psicológica más que en vulnerabilidades técnicas. Su eficacia radica en que los atacantes pueden suplantar números oficiales, reproducir guiones convincentes o incluso hacerse pasar por compañeros de trabajo para engañar al personal.
