哈佛大學確認，校方於2025年11月18日發現校友會與發展處系統遭到未經授權的入侵。據校方說法，事件源於以電話進行的社交工程與網路釣魚；校方其後移除相關存取權，並表示未發現後續持續入侵的證據。Have I Been Pwned於2026年11月3日收錄該批資料，辨識出約85萬個不重複電子郵件地址，並列出姓名、電話、實體地址、生日、雇主、捐款紀錄、國籍、族裔及家庭成員姓名等資料類別。85萬是出現在資料集中的不重複地址，不等於已確認受影響人數，也不能推論每筆紀錄均包含所有欄位。
攻擊者ShinyHunters宣稱對事件負責，並於2026年2月發布約1.1GB檔案，聲稱包含逾100萬筆紀錄；部分資訊已由科技媒體驗證，但哈佛尚未公開將事件歸因於該組織。校方原先表示尚未精確掌握遭存取內容；目前公開資料亦未證實已出現利用這批個資發動的實際釣魚攻擊。駭客宣稱的紀錄數、資料集規模與受害者數是三種不同口徑，不應混為一談。
這起事件的核心並非傳統加密系統遭破解，而是以人為信任為入口的資料供應鏈風險。哈佛保存的校友及捐款人檔案兼具商業、慈善與社交關係資訊，攻擊者即使沒有取得帳密，仍能利用任職經歷、捐款歷史、家庭成員及過往聯絡方式，提高冒充校方或募款人員的可信度。一旦身分資料被用來補強社交工程，單純重設密碼便難以消除風險。
此案與過往大型資料外洩事件相比，較少涉及支付卡或帳密，卻更具備「非可重置資料」的長期利用價值。Colonial Pipeline等事件顯示，橫向阻斷與快速撤銷憑證可降低即時危害；哈佛案則提醒市場，當核心資產是關係型、募款型與身分型資料時，事件結束並不等於風險結束。
01 起因觸發：電話型釣魚與社交工程突破校方人員信任
02 一階傳導：校友、捐款人、學生與員工資料遭外洩
03 二階擴散：精準募款、客服冒充與憑證復原風險升高
04 制度外溢：高階教育機構加速資料最小化與強驗證改革
05 產業外溢：慈善科技、校園身分與第三方登入商承擔更高資安門檻
06 宏觀終局：資安治理成為全球高階教育信任與募款能力指標
領域延伸情報推薦 相關延伸研讀
依主題領域自動關聯之高參考價值外電情報
