データ漏えい通知サービス「Have I Been Pwned」によると、2025年11月にハーバード大学の同窓会・開発部門（Alumni Affairs and Development）のシステムに侵入したハッカーは、85万を超える一意のメールアドレスに紐づくデータを盗み出しました。
ハーバード大学は、アイビーリーグに属する私立の研究大学です。教職員は2万人以上、学部生・大学院生は2万4,500人以上、世界各地の卒業生は40万人以上にのぼります。
同大学が2025年11月18日に侵害を把握したところによると、攻撃者は学生、卒業生、寄付者、職員、教員の個人情報にアクセスしました。流出した情報には、メールアドレス、電話番号、自宅や勤務先の住所、イベントの出席記録、寄付の詳細、さらに「大学の資金調達および卒業生との関係構築活動に関する経歴情報」が含まれます。
一方、ハーバード大学のクララ・イェリンコワ副学長兼最高情報責任者（CIO）は、侵害されたITシステムに社会保障番号、パスワード、支払いカード情報、金融情報は保存されていなかったと説明しています。
ハーバード大学は、この攻撃を特定のハッキンググループや攻撃者の仕業とは断定していません。しかし、恐喝グループ「ShinyHunters」が犯行声明を出し、同大学のシステムに侵入して、個人を特定できる情報や寄付データを含む100万件超のレコードを盗んだと主張しています。
その後、ハーバード大学が盗まれたデータの返却と破棄を求める身代金の支払いを拒否したため、サイバー犯罪者らは2月上旬、1.1GBの文書アーカイブをダークウェブ上のリークサイトで公開しました。
BleepingComputerが当時、詳細を問い合わせた際、ハーバード大学の広報担当者は情報が流出した人数を明らかにできませんでした。その後、Have I Been Pwnedがサイバー犯罪グループの公開したデータを分析し、火曜日に、この侵害で85万500件のアカウントのデータが流出したことを確認しました。流出したのは氏名、メールアドレス、生年月日、電話番号、住所、ソーシャルメディアのプロフィールなどです。
同サービスは「このデータには、同大学の卒業生・資金調達システムに関連する85万1,000件の一意のメールアドレスが含まれていました。あわせて、寄付者、卒業生、保護者、一部の教職員や学生に関する詳細なプロフィール情報も含まれていました」と説明しています。
アイビーリーグの他の2校、プリンストン大学とペンシルベニア大学も2025年11月にデータ漏えいを公表しました。両校とも、攻撃者が寄付者の情報にアクセスしたことを認めています。
2025年10月には、Clopランサムウェアグループが、Oracle E-Business Suite（EBS）のゼロデイ脆弱性を悪用して同大学のシステムに侵入したと主張しました。これを受け、ハーバード大学はBleepingComputerに対し、2件目のデータ漏えいを調査していると伝えていました。
その2カ月後には、フェニックス大学（UoPX）も、同じOracle EBSの脆弱性を突いたClopの攻撃を受けました。これにより、Clopに侵害された米国の大学のリストに加わりました。同大学は、2025年8月に同グループがUoPXの学生、職員、取引業者ら約350万人分のデータを盗んだことを明らかにしています。
