Harvard University discloses data breach affecting alumni, donors

Attaque par hameçonnage vocal chez Harvard : informations personnelles exposées

L’université Harvard a révélé une compromission de ses systèmes d’Affaires et de Développement auprès des Anciens élèves, résultant d’une attaque par hameçonnage vocal. Cette intrusion a potentiellement exposé les informations personnelles de plusieurs groupes, notamment les anciens élèves, leurs conjoints et veufs/veuves, les donateurs, les parents d’étudiants actuels et anciens, ainsi que certains étudiants, professeurs et membres du personnel.

Les données potentiellement compromises comprennent les adresses électroniques, les numéros de téléphone, les adresses personnelles et professionnelles, les historiques de participation aux événements, les détails des dons et des informations biographiques liées aux activités de collecte de fonds et d’engagement des anciens élèves. Les responsables de Harvard ont précisé que les numéros de sécurité sociale, les mots de passe, les informations de cartes de paiement ou financières n’étaient pas concernés par cette attaque.

L’université collabore avec les forces de l’ordre et des experts en cybersécurité pour enquêter sur l’incident. Des notifications ont été envoyées aux personnes potentiellement affectées, les informant de la situation et les encourageant à rester vigilantes face à toute communication suspecte émanant de l’université, en particulier celles demandant des réinitialisations de mot de passe ou des informations sensibles.

Il est à noter que Harvard enquête également sur une autre brèche de données survenue mi-octobre, potentiellement liée à une vulnérabilité dans les serveurs Oracle E-Business Suite, qui a conduit au placement de l’université sur un site d’extorsion par le groupe de rançongiciels Clop. D’autres universités de la Ivy League, comme Princeton et l’Université de Pennsylvanie, ont également signalé des violations de données affectant les informations de leurs donateurs plus tôt dans le mois.

Points clés :

• Attaque par hameçonnage vocal visant les systèmes d’Affaires et de Développement des Anciens élèves de Harvard.
• Exposition potentielle d’informations personnelles pour un large éventail de personnes liées à l’université.
• Les données critiques comme les numéros de sécurité sociale et les informations financières ne sont pas considérées comme compromises.
• Enquête en cours avec les autorités et des experts externes.
• Conseils aux individus concernés pour se prémunir contre les communications frauduleuses.
• Contexte de brèches de données similaires dans d’autres institutions académiques.

Vulnérabilités :

• La méthode d’attaque principale identifiée est le hameçonnage vocal (voice phishing).
• Aucune CVE spécifique n’est mentionnée dans l’article pour cette attaque particulière. L’article mentionne une enquête distincte concernant une potentielle exploitation d’une vulnérabilité Oracle (CVE non spécifiée).

Recommandations :

• Pour les personnes concernées :
  • Se méfier des appels, SMS et courriels prétendant provenir de Harvard, particulièrement ceux demandant des réinitialisations de mot de passe ou des informations personnelles sensibles.
  • Rester alerte face à toute communication inhabituelle.
• Pour l’université (implicite) :
  • Continuer l’enquête pour déterminer l’étendue exacte de la compromission.
  • Renforcer les mesures de sécurité, notamment contre les attaques de hameçonnage.
  • Maintenir la communication transparente avec les parties prenantes affectées.

Source