Harvard Üniversitesi'nin Kasım 2025'te telefonla oltalama (vishing; saldırganın kendini güvenilir biri gibi tanıtarak telefonda bilgi ya da erişim istemesi) saldırısıyla ele geçirilen mezun ve bağış sistemlerindeki veriler, 3 Kasım 2026'da Have I Been Pwned (e-posta adresinin bilinen veri ihlallerinde geçip geçmediğini gösteren ücretsiz hizmet) servisine eklendi; kayıtta 851 bin benzersiz e-posta adresi ile mezun, bağışçı ve velilere ait ayrıntılı profil bilgileri var. Fiziksel adres, doğum tarihi, aile ve bağış bilgisi içeren bu tür veriler kişiye özel oltalama ve dolandırıcılık girişimlerinde kullanılabilir.
Saldırı nasıl gerçekleşti
Harvard Üniversitesi Bilgi Teknolojileri biriminin açıklamasına göre yetkililer, 18 Kasım 2025 tarihinde Mezun İlişkileri ve Geliştirme biriminin kullandığı altyapıya telefonla oltalama yöntemiyle yetkisiz bir tarafça erişildiğini belirledi. Harvard Başkan Yardımcısı ve Üniversite Bilgi İşlem Direktörü Klara Jelinkova ile Mezun İlişkileri ve Geliştirme Başkan Yardımcısı Jim Husson imzalı duyuruda, yetkisiz erişimin tespit edildiği anda sonlandırıldığı ve adli süreç için kolluk kuvvetleri ile uzmanların devreye alındığı açıklandı. Üniversite yönetimi olay sonrasında ilgili kişileri e-posta yoluyla bilgilendirdi.
Hangi bilgiler açığa çıktı
Harvard tarafından yapılan incelemelerde; e-posta adresleri, telefon numaraları, ev ve iş adresleri, etkinlik katılım kayıtları, üniversiteye yapılan bağış kayıtları ve mezun ilişkileri kapsamındaki biyografik bilgilerin etkilendiği bildirildi. İhlalden mezunlar, bağışçılar, öğrenci velileri ile bazı çalışan ve öğrenciler etkilendi. Have I Been Pwned veritabanına eklenen kayıtlarda ad, hitap, fiziksel adres, doğum tarihi, doğum yeri, medeni durum, aile bireylerinin adları, eğitim düzeyi ve mesleki bilgilerin de yer aldığı görüldü. Üniversite yetkilileri, erişilen sistemlerde genel olarak Sosyal Güvenlik numarası, parola, ödeme kartı veya finansal hesap numarası bulunmadığını belirtti.
Saldırıyı kim üstlendi
Harvard Üniversitesi yürüttüğü incelemelerde saldırıyı resmi olarak belirli bir tehdit grubuna atfetmedi. Bununla birlikte şantaj eylemleriyle bilinen ShinyHunters adlı grup saldırıyı üstlendi ve 1 milyondan fazla kayıt elde ettiğini iddia etti. Have I Been Pwned platformu da sızıntının bu grubun şantaj girişimleriyle ilişkilendirildiğini aktardı. Şantaj odaklı siber grupların takibine dair benzer süreçler, daha önce ShinyHunters adlı gruba ilişkin 9 Ekim 2026 haberimiz kapsamında da yer bulmuştu. Benzer dönemde Princeton ve Pennsylvania üniversiteleri de bağışçı verilerini ilgilendiren ihlaller duyurmuştu; Harvard ayrıca Ekim 2025'te Clop grubuyla anılan ayrı bir olayı incelediğini bildirmişti.
Türkiye açısından
Kaynaklarda Türkiye açısından özelleştirilmiş bir veri yer almıyor ve Have I Been Pwned ülke bazlı bir döküm sunmuyor. Üniversitenin uluslararası mezun, öğrenci ve bağışçı ağı geniş bir coğrafyayı kapsadığından, kurumla bağı bulunan kişilerin iletişim adreslerini kontrol etmesi önem taşıyor. Yaşanan olay, telefonla oltalama yöntemlerinin teknik güvenlik filtrelerini aşarak doğrudan çağrı ve destek süreçlerini hedef alabildiğini gösteriyor; benzer bağış ve mezun veritabanlarını yöneten vakıf ve eğitim kurumlarının da bu riskleri dikkate alması gerekiyor.
Ne yapmalı: etkilenmiş olabilecekler için öneriler
Harvard Üniversitesi ve Have I Been Pwned tarafından paylaşılan güvenlik adımları şunlardır:
- Harvard, parola sıfırlama ya da kişisel bilgi talep eden beklenmedik telefon aramaları, SMS ve e-postalara karşı dikkatli olunmasını öneriyor.
- Şüpheli iletilerdeki bağlantılara tıklanmamalı ve iletişim doğrulaması doğrudan kurumun resmi kanalları üzerinden yapılmalıdır.
- Have I Been Pwned, e-posta adresinizin ihlalden etkilenip etkilenmediğini platform üzerinden sorgulamanızı ve tüm hesaplarınızda çok faktörlü doğrulama (parolaya ek olarak ikinci bir doğrulama adımı) kullanmanızı tavsiye ediyor.
Aşağıdaki maddeler kurumsal açıklamalardan bağımsız genel güvenlik ilkeleridir:
- Açığa çıkan kimlik, adres ve aile bilgilerini kullanarak kendisini üniversite ya da yardım kuruluşu yetkilisi gibi tanıtan kişilere karşı temkinli olun.
- Bağış veya ödeme talebi içeren beklenmedik durumlarda ilgili kurumun resmi web sitesindeki irtibat numaralarından bağımsız teyit alın.
- Aynı parolaları farklı internet platformlarında ortak olarak kullanmaktan kaçının.
Kaynaklar
- Have I Been Pwned — Harvard ihlal kaydı, 3 Kasım 2026
- Harvard University Information Technology — Recent cybersecurity incident information and FAQ, 22 Kasım 2025
- BleepingComputer — Harvard University data breach exposed info of 851,000 accounts, 3 Kasım 2026
- BleepingComputer — Harvard University discloses data breach affecting alumni, donors, 24 Kasım 2025
- TechCrunch — Hackers publish personal information stolen during Harvard, UPenn data breaches, 4 Şubat 2026
Kapak görseli (arşiv, temsili): Harvard Yard'daki Johnston Kapısı, Aralık 2020 — Chris Rycroft, CC BY 2.0, Wikimedia Commons (1200×675 kırpıldı).
Sık sorulan sorular
Harvard veri ihlalinde hangi bilgiler açığa çıktı?
İhlalde ad, e-posta adresi, telefon numarası, ev ve iş adresi, doğum tarihi, etkinlik katılım geçmişi ve bağış kayıtları gibi profil bilgileri açığa çıktı; Harvard'a göre erişilen sistemlerde genel olarak Sosyal Güvenlik numarası, parola ve ödeme kartı bilgisi bulunmuyordu.
E-posta adresimin etkilenip etkilenmediğini nasıl öğrenirim?
Veri ihlali sorgulama platformu Have I Been Pwned üzerinden e-posta adresinizi aratarak kaydın sızıntı listesinde yer alıp almadığını kontrol edebilirsiniz.
Türkiye'den etkilenen var mı?
Kaynaklarda ve Have I Been Pwned platformunda Türkiye'ye özgü bir veri kırılımı yer almamaktadır.
.jpg){kind=link}