En rapport fra en sikkerhedsleverandørs blog hævder, at et Harvard-datalæk blottede 850.500 e-mailadresser. Tallet er iøjnefaldende, men kilden tilbyder få detaljer ud over overskriften, så det bør betragtes som ubekræftet, indtil Harvard eller et større medie bekræfter det. Ikke desto mindre er den bredere historie om, at e-mailadresser fra Harvard-datalækket er blevet blottet, værd at forstå, fordi de praktiske risici for tilknyttede personer er reelle uanset det præcise antal.

Hvad er bekræftet om Harvard-lækket

Start med grænserne for, hvad vi ved. Artiklen, der gav anledning til dette indlæg, er en leverandørblog, hvis synlige tekst i det væsentlige er en markedsføringslinje om at finde lækkede logins. Den beskriver ikke, hvordan lækket skete, hvem der blev påvirket, eller hvor tallet 850.500 stammer fra. Vi kan ikke bekræfte dette tal, og du bør ikke gentage det som en kendsgerning.

Adskil søgeresultatsammenfatninger fra andre medier, dateret mellem oktober 2025 og februar 2026, beskriver de en Harvard-hændelse med nogle konsistente temaer:

  • Harvard blev rapporteret at være i gang med at undersøge et læk i oktober 2025, efter at en russisktalende cyberkriminalitetsorganisation hævdede at være ved at forberede frigivelsen af information.
  • Dækning i slutningen af november 2025 sagde, at de kompromitterede data omfattede e-mailadresser, telefonnumre samt hjem- og forretningsadresser.
  • Nogle sammenfatninger nævner også donationsoplysninger, historik om deltagelse i arrangementer og biografisk information, hvor alumner og donorer beskrives som berørte.
  • En sammenfatning angiver, at ingen følsomme finansielle oplysninger eller personnumre var involveret.

Vi har ikke uafhængigt bekræftet disse detaljer, og ingen af dem fastslår, at 850.500 er det korrekte tal. Hvis du er tilknyttet Harvard, er det mest pålidelige skridt at se efter direkte underretning fra universitetet og tjekke dets officielle udtalelser.

Hvorfor blottede e-mailadresser stadig betyder noget

Det er fristende at affeje et læk, der "kun" indeholder e-mailadresser. Det ville være en fejl. En e-mailadresse er identifikatoren for de fleste af dine onlinekonti, og den er ofte det første stykke information, en angriber har brug for.

Når en e-mailadresse kombineres med andre detaljer, stiger værdien. Rapporter, der beskriver navne, telefonnumre, postadresser og donations- eller arrangementshistorik, antyder et datasæt, der kan få en svindelbesked til at virke troværdig. En besked, der nævner en reel tilknytning eller tidligere donation, er langt mere overbevisende end en generisk spam-e-mail.

Blottede adresser har også en tendens til at cirkulere. Når en liste først er offentliggjort eller solgt, kan den genbruges af mange forskellige grupper, hvilket betyder, at risikoen ikke slutter efter den første bølge af beskeder.

Hvordan phishing og credential stuffing kan følge

To trusler skiller sig ud for personer, hvis adresser kan være blevet blottet.

Målrettet phishing. Angribere kan sende e-mails, der ser ud til at komme fra et universitetskontor, en alumneforening eller et fundraisingteam. De kan bede dig bekræfte en donation, opdatere kontaktoplysninger eller logge ind på en portal. Målet er at stjæle en adgangskode eller betalingsoplysninger. Fordi afsenderen ser ud til at vide noget om dig, kan disse beskeder slippe gennem din sædvanlige forsigtighed.

Credential stuffing. Dette angreb bruger en kendt e-mailadresse og prøver adgangskoder, der er lækket i andre brud. Hvis du genbruger en adgangskode på tværs af websteder, kan et gammelt læk åbne dine konti andre steder. Et brud, der kun blottlægger e-mailadresser, overdrager ikke adgangskoder direkte, men det giver angribere en liste over bekræftede mål at teste.

Ingen af angrebene kræver sofistikerede færdigheder. Begge afhænger af, at folk genbruger adgangskoder eller stoler på en velkendt besked, hvilket er grunden til, at forsvaret nedenfor mest består af simple vaner.

Hvad dette betyder for dig

Hvis du er Harvard-alumne, donor, studerende, ansat eller deltager i arrangementer, bør du antage, at dine kontaktoplysninger kan være i omløb, indtil universitetet siger andet. Det betyder ikke, at dine konti er kompromitteret. Det betyder, at du bør være ekstra årvågen i et stykke tid.

Hvis du ikke har nogen forbindelse til Harvard, er der ingen grund til panik. Historien er en nyttig påmindelse om, at enhver organisation, der opbevarer kontaktlister, kan blive en kilde til phishing-materiale, og at de samme forholdsregler gælder overalt.

Husk på, at tallet 850.500 er ubekræftet. En leverandørblog kan være nøjagtig, men den kan også gentage et tal fra en sekundær kilde. Vent på bekræftelse fra Harvard eller etablerede medier, før du drager konklusioner om omfanget.

Skridt berørte personer bør tage nu

  1. Tjek en tjeneste til underretning om datalæk. Indtast din e-mailadresse i en velrenommeret tjeneste, der sporer kendte datalæk, for at se, om den er dukket op i lækkede datasæt. Brug tjenestens eget websted direkte i stedet for et link fra en e-mail.
  2. Slå multifaktorautentificering (MFA) til. Aktivér det på din e-mail, bank og eventuelle universitets- eller alumnekonti. En autentificeringsapp eller hardwarenøgle er stærkere end SMS-koder, hvor det er tilgængeligt.
  3. Brug en adgangskodeadministrator. Generer en unik, lang adgangskode til hver konto, så ét læk ikke kan åbne andre. Skift genbrugte adgangskoder først, startende med e-mail.
  4. Behandl uventede beskeder med mistanke. Hvis en e-mail hævder at være fra Harvard, en alumnegruppe eller et fundraisingkontor, må du ikke klikke på dens links. Gå til det officielle websted ved selv at skrive adressen, eller ring til et nummer, du allerede stoler på.
  5. Hold øje med mærkelig aktivitet. Gennemgå loginadvarsler, videresendelsesregler i dine e-mailindstillinger og eventuelle ukendte kontomeddelelser.
  6. Se efter officielle meddelelser. Hvis Harvard kontakter dig om hændelsen, følg instruktionerne i den pågældende meddelelse, og bekræft den via universitetets officielle kanaler.

Bundlinjen

Historien om e-mailadresser fra Harvard-datalækket er stadig under udvikling, og tallet 850.500 kræver bekræftelse fra Harvard eller et større medie. Hvad der ikke er tvivl om, er rådet: lækkede kontaktoplysninger nærer phishing og credential stuffing, og et par vaner svækker begge. Tjek en tjeneste til underretning om datalæk, aktivér MFA på dine vigtige konti, og skift til en adgangskodeadministrator med unikke adgangskoder overalt. Disse skridt tager mindre end en time og beskytter dig mod denne hændelse og den næste.