Hackers drongen in bij Harvard University en stalen persoonlijke gegevens van meer dan 850.000 accounts, waaronder alumni en donateurs.
In november 2025 hebben hackers toegang gekregen tot de systemen van Harvard University's Alumni Affairs and Development, waarbij zij gegevens van meer dan 850.000 unieke e-mailadressen hebben buitgemaakt. Dit blijkt uit een analyse van de breach notification service Have I Been Pwned. Harvard University is een private Ivy League onderzoeksuniversiteit met meer dan 20.000 medewerkers, ruim 24.500 studenten en meer dan 400.000 alumni wereldwijd.
De aanvallers kregen toegang tot persoonlijke informatie van studenten, alumni, donateurs, medewerkers en docenten. De gestolen data omvat onder meer e-mailadressen, telefoonnummers, woon- en werkadressen, gegevens over evenementen, donatie-informatie en biografische gegevens die verband houden met fondsenwerving en alumni-activiteiten. Volgens Klara Jelinkova, Vice President en Chief Information Officer van Harvard, bevatten de getroffen IT-systemen geen burgerservicenummers, wachtwoorden, betaalkaartgegevens of financiële informatie.
Hoewel Harvard de aanval niet aan een specifieke groep toeschrijft, claimde de ShinyHunters-extortiegroep de verantwoordelijkheid. Deze groep gaf aan meer dan 1 miljoen records met identificeerbare informatie en donatiegegevens te hebben gestolen. Na weigering van Harvard om losgeld te betalen, publiceerde ShinyHunters begin februari een 1,1 GB groot archief met documenten op hun darkweb-lekplatform.
Have I Been Pwned bevestigde dat de datalek de gegevens van 850.500 accounts blootlegde, waaronder namen, e-mailadressen, geboortedata, telefoonnummers, fysieke adressen en socialmediaprofielen. De data betreft uitgebreide profielinformatie van donateurs, alumni, ouders en een deel van het personeel en studenten. In dezelfde periode meldden ook Princeton University en University of Pennsylvania dat hun systemen waren gehackt, waarbij eveneens donorinformatie werd buitgemaakt.
Daarnaast onderzoekt Harvard een tweede datalek nadat de Clop-ransomwaregroep in oktober 2025 claimde via een zero-day kwetsbaarheid in Oracle E-Business Suite toegang te hebben gekregen tot de systemen. Twee maanden later werd ook University of Phoenix slachtoffer van dezelfde aanvalsmethode, waarbij gegevens van bijna 3,5 miljoen studenten, medewerkers en leveranciers werden gestolen.
