بر اساس گزارش سرویس اطلاع‌رسانی نشت داده Have I Been Pwned، هکرها در نوامبر ۲۰۲۵ با نفوذ به سیستم‌های امور فارغ‌التحصیلان و توسعه (Alumni Affairs and Development) دانشگاه هاروارد، داده‌های مربوط به بیش از ۸۵۰,۰۰۰ آدرس ایمیل منحصربه‌فرد را سرقت کردند.
این حمله که در تاریخ ۱۸ نوامبر ۲۰۲۵ توسط دانشگاه شناسایی شد، منجر به دسترسی مهاجمان به اطلاعات شخصی دانشجویان، فارغ‌التحصیلان، اهداکنندگان، کارکنان و اعضای هیئت علمی شده است. این داده‌ها شامل آدرس‌های ایمیل، شماره تلفن، آدرس‌های منزل و محل کار، سوابق شرکت در رویدادها، جزئیات کمک‌های مالی و اطلاعات بیوگرافیک مربوط به فعالیت‌های جذب سرمایه دانشگاه است.
با این حال، کلارا جیلینکووا، معاون و مدیر ارشد اطلاعات (CIO) دانشگاه هاروارد، اعلام کرد که سیستم‌های تحت نفوذ، شماره‌های تأمین اجتماعی (Social Security numbers)، رمز عبور (Password)، اطلاعات کارت‌های بانکی یا داده‌های مالی را ذخیره نمی‌کردند.
اگرچه هاروارد هنوز این حمله را به عامل تهدید (Threat Actor) خاصی نسبت نداده است، اما گروه باج‌افزار و اخاذی ShinyHunters مسئولیت این عملیات را بر عهده گرفته و مدعی شده است که پس از نفوذ به سیستم‌ها، بیش از یک میلیون رکورد حاوی اطلاعات هویتی و داده‌های مربوط به کمک‌های مالی را سرقت کرده است. پس از آنکه هاروارد از پرداخت باج برای بازگرداندن و نابودی داده‌های سرقت شده خودداری کرد، این مجرمان سایبری در اوایل فوریه، یک آرشیو ۱.۱ گیگابایتی از اسناد را در سایت نشت داده خود در دارک‌وب (Dark Web) منتشر کردند.
شایان ذکر است که این حادثه در حالی رخ می‌دهد که سایر دانشگاه‌های برتر مانند پرینستون و پنسیلوانیا نیز در نوامبر ۲۰۲۵ گزارش‌های نشت داده مربوط به اطلاعات اهداکنندگان را منتشر کرده‌اند. همچنین پیش‌تر در ماه اکتبر ۲۰۲۵، هاروارد در حال بررسی نفوذ دوم خود بود؛ حمله‌ای که گفته می‌شود توسط گروه باج‌افزار (Ransomware) Clop و با استفاده از یک آسیب‌پذیری زیرو دِی (Zero-day) در Oracle E-Business Suite (EBS) انجام شده است.
