Harvard ihlali: 851 bin hesap sızdı, bağışçı profilleri açıkta

Harvard veri ihlalinde tam olarak ne çalındı?

İhlalleri takip eden Have I Been Pwned (HIBP), ShinyHunters'ın şubat ayında sızdırdığı arşivi inceledi ve sayıyı açıkladı: 850.500 hesap, yani 851 bin benzersiz e-posta adresi.

Bu rakam, mağdurların ilk net sayısı. Harvard olayı Kasım 2025 sonunda doğruladığında mezun ilişkileri ve bağış toplama sistemlerinde bir ihlal olduğunu söyledi ama kaç kişinin etkilendiğini açıklamadı.

HIBP'ye göre sızan kayıtlarda isimler, e-posta adresleri, doğum tarihleri, telefon numaraları, posta adresleri ve sosyal medya profilleri var. Arşivde bağışçılar, mezunlar, veliler ile bazı öğretim üyeleri, personel ve öğrenciler için "kapsamlı profil bilgileri" de bulunuyor. Etkinlik katılım kayıtları ve bağış detayları da çalınanlar arasında.

Harvard sosyal güvenlik numaraları, şifreler, ödeme kartı bilgileri ve finansal verilerin açığa çıkmadığını belirtti. Yine de çalınan malzeme tam olarak bir bağış toplama ofisinin biriktirdiği türden: kim veriyor, ne kadar veriyor, hangi etkinliklere katılıyor. Bu da veriyi, haberler unutulduktan sonra bile oltalama için değerli kılıyor.

ShinyHunters nasıl girdi: sıfır gün değil, bir telefon görüşmesi

Saldırı bir yazılım açığını kullanmadı; sesli kimlik avı kampanyasıydı. Birileri, Harvard'ın mezun sistemlerine erişimi olan bir kişiyi kandırarak erişimi ele geçirdi.

Harvard, vishing saldırısını Kasım 2025 olayından kısa süre sonra doğruladı. Sorumluluğu ShinyHunters üstlendi ve kişisel tanımlanabilir bilgiler ile bağış verileri içeren bir milyondan fazla kayıt çaldığını iddia etti. Görüşmeler tıkanınca grup şubat 2026 başında 1,1 GB'ı aşkın belgeyi sızdırdı.

Harvard, birkaç hafta içinde vurulan üçüncü üniversiteydi. Princeton ve Pennsylvania Üniversitesi de aynı dönemde benzer ihlaller yaşadı. Penn'de ShinyHunters yaklaşık 1,2 milyon öğrenci, mezun ve bağışçının verisini çaldığını iddia etti; Penn önce saldırganın e-postalarını sahte olarak nitelendirdi, sonra olayı doğruladı.

Üniversiteler cazip hedefler: dağınık mezun veritabanları, merkezi olmayan bir BT yapısı ve açık erişim kültürü bir arada. Bir bağış geliştirme ofisindeki tek bir ele geçirilmiş hesap, onlarca yıllık bağışçı ilişkilerini açığa çıkarabiliyor. Bu tablo, 6,3 milyar dolarlık Binance vurgununa yol açan sahte iş görüşmesini hatırlatıyor: ikna edici bir konuşma teknik kontrolleri atlamaya yetmişti.

Harvard mezunları ve bağışçıları şimdi ne yapmalı?

Açığa çıkan veriler oltalama için hazır bir senaryo. Arşivde olan herkes adının, e-postasının, telefonunun ve bağış geçmişinin suçluların elinde olabileceğini varsaymalı.

Harvard'ın kimlik koruma hizmeti sunacağını açıklamadı; sosyal güvenlik numaralarının sızmamış olması doğrudan finansal dolandırıcılık riskini düşürüyor. Ancak doğum tarihleri, telefon numaraları ve bağış geçmişinin birleşimi, üniversiteden ya da bir yardım kuruluşundan geliyormuş gibi görünen ikna edici mesajlar hazırlamaya yetiyor.

Mezuniyet yılınıza, geçmiş bir bağışınıza veya katıldığınız bir etkinliğe atıfta bulunan e-posta ve telefonlara dikkat edin. Para veya kimlik bilgisi isteyen her talebi, mesajda verilen kanaldan değil, kendi başlattığınız bir kanaldan doğrulayın. HIBP, Harvard adreslerini veritabanına ekledi; e-postanızı orada kontrol ederek sızıntıda olup olmadığınızı öğrenebilirsiniz.

• E-postanızı Have I Been Pwned'da kontrol ederek sızıntıda olup olmadığınızı doğrulayın.
• Bağış geçmişinize atıfta bulunan beklenmedik Harvard veya yardım kuruluşu e-postalarına şüpheyle yaklaşın.
• Kişisel e-posta ve finansal hesaplarda çok faktörlü kimlik doğrulamayı açın.
• Şüpheli mesajları Harvard'ın BT güvenlik ekibine bildirin.

Türkiye'de durum ne?

Harvard'ın küresel mezun ve bağışçı ağında Türkiye'den de kişiler var. Üniversite, uluslararası mezunlar için bir bildirim veya kimlik koruma programı açıklamadı; sızan verilerin yalnızca ABD'de yaşayanlarla sınırlı olduğuna dair bir işaret de yok. Türkiye'de yaşayan bir mezun veya bağışçıysanız iletişim bilgileriniz arşivde olabilir.

KVKK kapsamında ilgili kişiler veri sorumlusuna başvurarak hangi verilerin işlendiğini sorabiliyor; ancak ABD merkezli bir üniversiteye karşı bu hakkın işletilmesi pratikte yavaş ve belirsiz. Yine de Harvard'a resmi bir başvuru yapmak, olası bir bildirim sürecinde elinizi güçlendirir. Sızıntının TL cinsinden bir maliyeti yok; asıl risk, bağış geçmişinize dayanan hedefli oltalama mesajları.

Harvard ihlali artık bir rakamla anılıyor: 851 bin hesap ve yıllarca oltalama kampanyalarını besleyecek kadar kişisel detay. Üniversite en kötü veri kategorilerinden kurtuldu ama olay, tek bir telefon görüşmesinin en prestijli kurumlarda bile güvenlik katmanlarını nasıl çökertebildiğini gösteriyor.