Data 850.500 Akun Harvard Bocor Setelah Serangan Vishing ShinyHunters

Telset.id – Sebanyak 850.500 akun yang terkait sistem alumni dan penggalangan dana Harvard University dilaporkan bocor ke dark web setelah kelompok ShinyHunters berhasil menembus sistem universitas tersebut. Kebocoran data Harvard ini terungkap setelah situs pemantau kebocoran Have I Been Pwned? (HIBP) menyelesaikan analisis menyeluruh terhadap arsip yang diterbitkan pada awal Februari tahun ini.

Angka tersebut muncul dari hasil pemeriksaan HIBP terhadap lebih dari 1,1GB dokumen yang disebarkan ShinyHunters. Sebelumnya, tidak ada pihak yang mengetahui secara pasti berapa banyak individu yang terdampak insiden ini. Data yang bocor mencakup nama, alamat email, tanggal lahir, nomor telepon, alamat pos, hingga profil media sosial.

HIBP menyatakan arsip tersebut memuat 851 ribu alamat email unik yang berkaitan dengan sistem alumni dan penggalangan dana universitas, disertai informasi profil ekstensif milik donor, alumni, orang tua, serta sejumlah dosen, staf, dan mahasiswa. Kebocoran ini menjadi salah satu insiden keamanan siber terbesar yang menimpa institusi pendidikan tinggi dalam beberapa bulan terakhir.

Kronologi Serangan Vishing di Harvard

Insiden bermula pada akhir November 2025 ketika Harvard University mengonfirmasi bahwa sistem Alumni Affairs and Development mereka telah dikompromikan. Serangan terjadi setelah pelaku berhasil menjalankan aksi voice phishing atau vishing terhadap sistem tersebut.

Sistem yang diretas menyimpan informasi tentang alumni, donor, sejumlah dosen dan staf, sebagian mahasiswa aktif, serta data pasangan, mitra, dan orang tua mereka. Mahasiswa aktif dan mantan mahasiswa turut terdampak dalam insiden ini.

Harvard kemudian memastikan bahwa data yang dikompromikan meliputi alamat email, nomor telepon, alamat rumah dan kantor, catatan kehadiran acara, rincian donasi, serta informasi biografis yang berkaitan dengan aktivitas penggalangan dana dan keterlibatan alumni universitas. Meski demikian, Harvard menegaskan bahwa nomor Social Security, kata sandi, informasi kartu pembayaran, maupun data keuangan tidak ikut terekspos.

Saat itu, Harvard tidak menyebut identitas pelaku. Namun kelompok pemeras ShinyHunters mengklaim bertanggung jawab tak lama setelahnya. Dalam entri baru di forum dark web, pelaku menyatakan telah mencuri lebih dari satu juta rekaman berisi informasi identitas pribadi (PII) serta data donasi.

Negosiasi antara pihak universitas dan kelompok tersebut dilaporkan gagal, sehingga ShinyHunters nekat menerbitkan lebih dari 1,1GB dokumen pada awal Februari tahun ini. Publikasi inilah yang kemudian dianalisis HIBP untuk menentukan jumlah akun yang benar-benar terdampak.

Pola Serangan ShinyHunters pada Universitas

Insiden di Harvard bukan kasus tunggal. Ketika Harvard menjadi korban ShinyHunters, kelompok tersebut menjadikan universitas ini sebagai kampus ketiga yang mengalami kebocoran dalam hitungan minggu, menyusul insiden serupa di Princeton University dan University of Pennsylvania.

Pada awal November 2025, saat ShinyHunters mengklaim bertanggung jawab atas serangan terhadap Penn, mereka menyebut telah mencuri data sekitar 1,2 juta mahasiswa, alumni, dan donor. Pelaku mengaku memperoleh akses penuh ke akun PennKey SSO milik seorang karyawan universitas, yang kemudian membuka jalan ke VPN Penn, data Salesforce, platform analitik Qlik, sistem business intelligence SAP, serta berkas SharePoint.

Dalam pernyataannya, pelaku melontarkan kritik keras terhadap Penn dan menyebut institusi tersebut memiliki praktik keamanan yang buruk. ShinyHunters juga menyinggung soal pelanggaran aturan federal seperti FERPA dan putusan Mahkamah Agung terkait SFFA.

Awalnya University of Pennsylvania menyebut email yang beredar sebagai “jelas palsu” dan “fraudulent”. Namun pihaknya kemudian menarik pernyataan tersebut dan mengonfirmasi insiden yang sebenarnya. Penn menyatakan stafnya bergerak cepat mengunci sistem dan mencegah akses tidak sah lebih lanjut, meski email ofensif dan fraudulen terlanjur terkirim ke komunitas kampus dan data telah diambil pelaku.

Penn menegaskan bahwa serangan dilakukan melalui rekayasa sosial. Sebagian besar karyawan diwajibkan menggunakan autentikasi multifaktor (MFA), tetapi menurut laporan, sejumlah pejabat tinggi diizinkan melewati langkah tersebut. Pola inilah yang menjadi celah berulang dalam serangkaian serangan terhadap institusi pendidikan tinggi.

Bagi Harvard sendiri, insiden ini menambah daftar panjang persoalan keamanan yang menimpa kampus tersebut. Di sisi lain, sejumlah riset dari kampus yang sama justru tengah menyoroti perkembangan teknologi lain, seperti kain rajut Harvard yang dikembangkan untuk kebutuhan teknologi masa depan.

Kasus ini juga menjadi pengingat bahwa data yang tersimpan dalam sistem penggalangan dana dan keterlibatan alumni menyimpan nilai tinggi bagi pelaku kejahatan siber. Informasi profil yang ekstensif—mulai dari riwayat donasi hingga relasi keluarga—dapat dimanfaatkan untuk serangan lanjutan berbasis rekayasa sosial.

HIBP sendiri merupakan situs yang mengagregasi kata sandi curian dan membantu pengguna mengetahui layanan mana saja yang mengekspos informasi pribadi mereka. Analisis yang dilakukan lembaga ini menjadi rujukan penting untuk mengukur skala sebenarnya dari sebuah kebocoran data.

Hingga berita ini diturunkan, belum ada informasi lebih lanjut mengenai langkah lanjutan yang diambil Harvard pasca-publikasi arsip oleh ShinyHunters, termasuk apakah universitas akan menghubungi langsung seluruh individu terdampak. Yang jelas, insiden ini menegaskan bahwa serangan rekayasa sosial terhadap sistem universitas dan penggalangan dana masih menjadi ancaman nyata yang terus berulang.