Wyciek danych z Harvardu ujawnił informacje o 851 tysiącach kont

silhouette photo of person holding smartphone — Gilles Lambert / Unsplash

Hakerzy, którzy w listopadzie 2025 roku włamali się do systemów informatycznych Harvard University, skradli dane powiązane z ponad 850 tysiącami unikalnych adresów e-mail. Informacje te potwierdziła usługa monitorująca wycieki Have I Been Pwned. Do naruszenia bezpieczeństwa doszło w systemach odpowiedzialnych za sprawy absolwentów i rozwój uczelni. Właścicielami tych systemów są Harvard University oraz jego podmioty powiązane z fundraisingiem.

Uczelnia odkryła naruszenie 18 listopada 2025 roku. Wtedy to sprawcy uzyskali dostęp do danych osobowych studentów, absolwentów, darczyńców, pracowników i kadry naukowej. Skradzione informacje obejmowały adresy e-mail, numery telefonów, adresy domowe i służbowe, zapisy o uczestnictwie w wydarzeniach, szczegóły darowizn oraz informacje biograficzne dotyczące działań uczelni w zakresie pozyskiwania funduszy i angażowania absolwentów. Klara Jelinkova, wiceprezydent i główny informatyk Harvardu, oświadczyła, że naruszone systemy nie przechowywały numerów ubezpieczenia społecznego, haseł, danych kart płatniczych ani informacji finansowych.

Harvard nie przypisał ataku żadnej konkretnej grupie hakerskiej. Grupa ShinyHunters przyznała się do odpowiedzialności, twierdząc, że skradła ponad milion rekordów zawierających identyfikowalne informacje i dane darowizn. Cyberprzestępcy wyciekli archiwum dokumentów o rozmiarze 1,1 GB na swojej stronie w dark webie na początku lutego, po tym jak Harvard odmówił zapłaty okupu w celu zwrotu i zniszczenia skradzionych danych.

Have I Been Pwned przeanalizowała wyciekłe dane i potwierdziła, że naruszenie ujawniło dane 850 500 kont. Wśród nich znajdowały się imiona, adresy e-mail, daty urodzenia, numery telefonów, adresy fizyczne i profile w mediach społecznościowych. Usługa ta podała, że dane zawierały 851 tysięcy unikalnych adresów e-mail związanych z systemami absolwentów i fundraisingu uczelni, wraz z rozbudowanymi informacjami profilowymi o darczyńcach, absolwentach, rodzicach oraz części kadry, pracowników i studentów.

W listopadzie 2025 roku dwa inne uczelnie z ligi Ivy, Princeton University i University of Pennsylvania, ujawniły wycieki danych, potwierdzając, że sprawcy uzyskali dostęp do informacji darczyńców. W październiku 2025 roku Harvard poinformował o badaniu drugiego wycieku danych po tym, jak grupa ransomware Clop twierdziła, że włamała się do systemów uczelni, wykorzystując podatność zero-day w Oracle E-Business Suite. Dwa miesiące później University of Phoenix dołączyło do listy amerykańskich uczelni naruszonych przez Clop za pomocą tej samej podatności, ujawniając, że grupa skradła dane z prawie 3,5 miliona studentów, pracowników i dostawców w sierpniu 2025 roku.