Persoonlijke informatie die verband houdt met ongeveer 850.500 unieke e-mailaccounts werd blootgelegd bij een cyberaanval op alumni- en fondsenwervingssystemen van Harvard University. De omvang van het lek is duidelijker geworden nadat de gestolen gegevens werden geanalyseerd en toegevoegd aan de meldingsdienst voor inbreuken Have I Been Pwned .
De inbraak dateert van 18 november 2025, toen Harvard ongeautoriseerde toegang ontdekte tot systemen die werden beheerd door de afdeling Alumni Affairs and Development. Universiteitsfunctionarissen bevestigden later dat de aanvallers via een telefoongebaseerde phishing-aanval, ook wel voice phishing of vishing, hadden binnengekregen.
De gecompromitteerde systemen bevatten informatie over alumni, donateurs, ouders van huidige en voormalige studenten, en enkele docenten, medewerkers en studenten. Beschikbare gegevens omvatten namen, e-mailadressen, telefoonnummers, woon- en bedrijfsadressen, geboortedata, donatiegeschiedenis en aanwezigheid bij universiteitsevenementen.
Aanvullende profielinformatie die in de gelekte dataset werd geïdentificeerd, omvatte werkgegevens, socialmediaprofielen en andere biografische informatie die werd verzameld via de alumni-betrokkenheid en fondsenwervingsactiviteiten van Harvard.
De cybercriminele groep ShinyHunters eiste de verantwoordelijkheid voor de inbraak op. In februari 2026 publiceerde de groep een dataset met naar verluidt meer dan een miljoen gegevens nadat Harvard weigerde losgeld te betalen. De universiteit heeft de verantwoordelijkheid van de groep voor de aanval niet publiekelijk bevestigd.
De nieuwste analyse van Have I Been Pwned identificeerde ongeveer 850.500 unieke e-mailaccounts binnen de blootgestelde informatie. Dit cijfer geeft verschillende e-mailadressen weer in plaats van een bevestigd aantal getroffen personen, aangezien de gelekte database meerdere categorieën persoonlijke gegevens bevatte.
Harvard verklaarde eerder dat de gecompromitteerde systemen geen burgerservicenummers, accountwachtwoorden, betaalkaartgegevens of financiële rekeninggegevens opsloegen. De blootgelegde contactgegevens en donatiegegevens kunnen echter nog steeds nuttig zijn voor criminelen die zich voordoen als universiteitsvertegenwoordiger.
Na de ontdekking verwijderde Harvard de toegang van de aanvallers en begon samen te werken met wetshandhavers en externe cybersecurityspecialisten. De universiteit informeerde in november 2025 ook mogelijk getroffen personen en adviseerde hen om op te letten op verdachte communicatie die beweerde afkomstig te zijn van Harvard.
De opname van de gelekte dataset in Have I Been Pwned stelt individuen nu in staat te controleren of hun e-mailadressen onder de gecompromitteerde gegevens voorkomen. De bevindingen van de dienst geven een nauwkeurigere beoordeling van de blootstelling, bijna een jaar na de oorspronkelijke inbraak.