Nach Angaben von Have I Been Pwned enthielten die Daten 851.000 eindeutige E-Mail-Adressen aus den Alumni- und Fundraising-Systemen der Universität sowie umfangreiche Profilangaben zu Spendern, Alumni, Eltern und einem Teil der Lehrenden, Beschäftigten und Studierenden. Darunter befinden sich Namen, Geburtsdaten, Telefonnummern, Postanschriften und Profile in sozialen Netzwerken.
Harvard hatte den Vorfall am 18. November 2025 entdeckt. Die Angreifer erhielten Zugriff auf persönliche Daten von Studierenden, Alumni, Spendern sowie Beschäftigten und Lehrenden, darunter E-Mail-Adressen, Telefonnummern, Privat- und Geschäftsadressen, Teilnahmeunterlagen zu Veranstaltungen, Angaben zu Spenden sowie „biografische Informationen im Zusammenhang mit den Fundraising- und Alumni-Aktivitäten der Universität". Klara Jelinkova, Vice President und University Chief Information Officer von Harvard, erklärte, in den betroffenen IT-Systemen seien keine Sozialversicherungsnummern, Passwörter, Zahlungskartendaten oder Finanzinformationen gespeichert gewesen.
Die Universität hat den Angriff keiner bestimmten Gruppe zugeschrieben. Die Erpressergruppe ShinyHunters reklamierte die Tat für sich und gab an, mehr als eine Million Datensätze mit identifizierenden Informationen und Spendendaten erbeutet zu haben. Anfang Februar veröffentlichten die Kriminellen ein 1,1 GB großes Archiv mit Dokumenten auf ihrer Leak-Seite im Darknet, nachdem Harvard sich geweigert hatte, ein Lösegeld für die Rückgabe und Vernichtung der Daten zu zahlen. Eine Sprecherin der Universität konnte zu diesem Zeitpunkt keine Angaben dazu machen, wie viele Personen betroffen sind.
Harvard ist eine private Forschungsuniversität der Ivy League mit über 20.000 Lehrenden und Beschäftigten, mehr als 24.500 Studierenden in grundständigen und weiterführenden Studiengängen sowie über 400.000 Alumni weltweit.
Im November 2025 meldeten mit der Princeton University und der University of Pennsylvania zwei weitere Ivy-League-Hochschulen Datenabflüsse; beide bestätigten, dass die Angreifer auf Spenderdaten zugegriffen hatten.
Parallel dazu untersuchte Harvard im Oktober 2025 einen zweiten Vorfall: Die Ransomware-Gruppe Clop hatte behauptet, über eine Zero-Day-Schwachstelle in Oracle E-Business Suite (EBS) in die Systeme der Universität eingedrungen zu sein. Zwei Monate später reihte sich die University of Phoenix in die Liste der über dieselbe Oracle-EBS-Lücke angegriffenen US-Hochschulen ein und teilte mit, Clop habe im August 2025 Daten von nahezu 3,5 Millionen Studierenden, Beschäftigten und Lieferanten entwendet.