Un rapporto pubblicato sul blog di un fornitore di sicurezza informatica sostiene che una violazione dei dati di Harvard abbia esposto 850.500 indirizzi email. La cifra è impressionante, ma la fonte offre pochi dettagli oltre al titolo, quindi va considerata non verificata finché Harvard o un importante organo di stampa non la confermeranno. Anche così, la vicenda più ampia dell'esposizione degli indirizzi email nella violazione dei dati di Harvard merita di essere compresa, perché i rischi concreti per le persone affiliate sono reali a prescindere dal numero esatto.

Cosa è confermato sulla violazione di Harvard

Partiamo dai limiti di ciò che sappiamo. L'articolo che ha ispirato questo post è il blog di un fornitore il cui testo visibile è essenzialmente uno slogan marketing sulla ricerca di credenziali trapelate. Non descrive come sia avvenuta la violazione, chi sia stato colpito, né da dove provenga il numero 850.500. Non possiamo verificare quel numero, e non dovreste ripeterlo come un fatto.

Sintesi separate dei risultati di ricerca provenienti da altre testate, datate tra ottobre 2025 e febbraio 2026, descrivono un incidente di Harvard con alcuni temi ricorrenti:

  • Si è riferito che Harvard stesse indagando su una violazione nell'ottobre 2025 dopo che un'organizzazione criminale informatica di lingua russa aveva dichiarato di prepararsi a rilasciare informazioni.
  • La copertura di fine novembre 2025 affermava che i dati compromessi includevano indirizzi email, numeri di telefono e indirizzi di casa e di lavoro.
  • Alcune sintesi menzionano anche dettagli sulle donazioni, la cronologia di partecipazione agli eventi e informazioni biografiche, con alumni e donatori descritti come colpiti.
  • Una sintesi afferma che non erano coinvolte informazioni finanziarie sensibili né numeri di previdenza sociale.

Non abbiamo confermato autonomamente questi dettagli, e nessuno di essi stabilisce che 850.500 sia il numero corretto. Se siete affiliati a Harvard, il passo più affidabile è cercare una notifica diretta da parte dell'università e verificare le sue dichiarazioni ufficiali.

Perché gli indirizzi email esposti contano comunque

È tentante liquidare con sufficienza una fuga di dati che "solo" include indirizzi email. Sarebbe un errore. Un indirizzo email è l'identificatore della maggior parte dei vostri account online, ed è spesso la prima informazione di cui un attaccante ha bisogno.

Quando un indirizzo email è abbinato ad altri dettagli, il suo valore aumenta. I rapporti che descrivono nomi, numeri di telefono, indirizzi postali e cronologia di donazioni o eventi suggeriscono un insieme di dati che potrebbe rendere credibile un messaggio truffaldino. Un messaggio che menziona un'affiliazione reale o una donazione passata è molto più convincente di un'email spam generica.

Gli indirizzi esposti tendono anche a circolare. Una volta che una lista è pubblicata o venduta, può essere riutilizzata da molti gruppi diversi, il che significa che il rischio non finisce dopo la prima ondata di messaggi.

Come potrebbero seguire phishing e credential stuffing

Due minacce si distinguono per le persone i cui indirizzi potrebbero essere stati esposti.

Phishing mirato. Gli attaccanti possono inviare email che sembrano provenire da un ufficio universitario, da un'associazione di alumni o da un team di raccolta fondi. Potrebbero chiedervi di confermare una donazione, aggiornare i dati di contatto o accedere a un portale. L'obiettivo è rubare una password o i dettagli di pagamento. Poiché il mittente sembra sapere qualcosa di voi, questi messaggi possono superare la vostra solita cautela.

Credential stuffing. Questo attacco utilizza un indirizzo email noto e prova password trapelate in altre violazioni. Se riutilizzate una password su più siti, una vecchia fuga di dati può sbloccare i vostri account altrove. Una violazione che espone solo indirizzi email non consegna direttamente le password, ma fornisce agli attaccanti una lista di bersagli confermati da testare.

Nessuno dei due attacchi richiede competenze sofisticate. Entrambi dipendono da persone che riutilizzano password o si fidano di un messaggio dall'aspetto familiare, ed è per questo che le difese qui sotto sono per lo più semplici abitudini.

Cosa significa per voi

Se siete un alumno, donatore, studente, dipendente o partecipante a eventi di Harvard, date per scontato che i vostri dati di contatto possano essere in circolazione finché l'università non affermerà il contrario. Ciò non significa che i vostri account siano compromessi. Significa che dovreste alzare la guardia per un po'.

Se non avete alcun legame con Harvard, non c'è bisogno di farsi prendere dal panico. La vicenda è un utile promemoria del fatto che qualsiasi organizzazione che detiene liste di contatti può diventare una fonte di materiale per il phishing, e che le stesse precauzioni valgono ovunque.

Tenete presente la natura non verificata della cifra 850.500. Il blog di un fornitore può essere accurato, ma può anche ripetere un numero da una fonte secondaria. Attendete la conferma di Harvard o di testate consolidate prima di trarre conclusioni sulla portata.

Passi che le persone colpite dovrebbero intraprendere ora

  1. Controllate un servizio di notifica delle violazioni. Inserite il vostro indirizzo email in un servizio affidabile che traccia le violazioni note per vedere se è apparso in insiemi di dati trapelati. Usate direttamente il sito del servizio anziché un link contenuto in un'email.
  2. Attivate l'autenticazione a più fattori (MFA). Abilitatela sulla vostra email, sul banking e su qualsiasi account universitario o di alumni. Un'app di autenticazione o una chiave hardware è più sicura dei codici SMS, ove disponibile.
  3. Usate un gestore di password. Generate una password unica e lunga per ogni account, così che una fuga di dati non possa aprirne altri. Cambiate prima le password riutilizzate, iniziando dall'email.
  4. Trattate con sospetto i messaggi inattesi. Se un'email afferma di provenire da Harvard, da un gruppo di alumni o da un ufficio di raccolta fondi, non cliccate sui suoi link. Andate sul sito ufficiale digitando voi stessi l'indirizzo, oppure chiamate un numero di cui vi fidate già.
  5. Prestate attenzione ad attività anomale. Controllate gli avvisi di accesso, le regole di inoltro nelle impostazioni della vostra email e qualsiasi notifica di account non familiare.
  6. Cercate avvisi ufficiali. Se Harvard vi contatta in merito all'incidente, seguite le istruzioni contenute in quell'avviso e verificatelo attraverso i canali ufficiali dell'università.

In sintesi

La vicenda degli indirizzi email della violazione dei dati di Harvard è ancora in evoluzione, e la cifra 850.500 necessita di conferma da parte di Harvard o di una testata importante. Ciò che non è in dubbio è il consiglio: i dati di contatto trapelati alimentano phishing e credential stuffing, e poche abitudini attenuano entrambi. Controllate un servizio di notifica delle violazioni, abilitate l'MFA sui vostri account importanti e passate a un gestore di password con password uniche ovunque. Questi passi richiedono meno di un'ora e vi proteggono da questo incidente e dal prossimo.