Bij de meeste e-mailadressen stonden ook naam, adres, woonplaats en telefoonnummer van de betreffende personen. De mensen hadden die informatie ingevuld op webformulieren om informatie op te vragen, en de hogeschool had die opgeslagen.

Bij een kleine groep gedupeerden bewaarde de hogeschool meer informatie. Zo stonden op de gehackte server ook de nummers van paspoorten of identiteitskaarten van 183 mensen. Het gaat om mensen die tussen 2015 en 2017 meededen aan een „buitenlands hardloopevenement”. Verder stonden er 4400 niet-versleutelde, dus eenvoudig leesbare wachtwoorden. Het gaat volgens de HAN om een dienst die sinds 2018 niet meer werd gebruikt, maar zulke informatie kan toch interessant zijn voor cybercriminelen, omdat mensen hetzelfde wachtwoord vaak ook op andere plekken gebruiken. Ze kunnen dan geautomatiseerd proberen om met dat wachtwoord binnen te dringen bij bijvoorbeeld internetbankieren of mailadressen. Ook gegevens als namen en adressen kunnen voor cybercriminelen interessant zijn. Ze kunnen zich voordoen als een bedrijf om nietsvermoedende mensen op te lichten, of ze kunnen zich juist voordoen als die persoon om bijvoorbeeld op andermans naam een abonnement af te sluiten.

Op de gehackte server stonden verder de CV’s van meer dan 800 mensen, de burgerservicenummers van ruim 400 personen en de politieke voorkeuren van 150 mensen.

De hogeschool zegt de hack op 1 september te hebben ontdekt. De hacker eiste losgeld in ruil voor de gestolen gegevens. Eerder ging een bedrag van 10.000 euro rond, maar volgens de hogeschool eiste de hacker „een veelvoud daarvan”. De HAN weigerde dit te betalen.