ShinyHunters, FBI e PeopleSoft: arresti e patch non applicata

📌 Sviluppi successivi: ShinyHunters: arrestato negli USA un negoziatore di riscatti (10 ottobre 2026)

Nella seconda metà di settembre il gruppo di furto di dati ed estorsione ShinyHunters ha violato FBIJobs.gov, il portale delle assunzioni dell’FBI, e ha rivendicato il furto dei dati personali di dipendenti attuali, ex dipendenti e candidati. Ora l’FBI conferma più arresti legati all’attacco e indica la causa: una patch di sicurezza non applicata da un fornitore esterno su una piattaforma da lui gestita.

Per chi gestisce sistemi aziendali il punto tecnico è questo: un attacco di grande visibilità è riuscito su una vulnerabilità già corretta, su un sistema gestito da terzi.

Cosa è successo

Secondo quanto riportato da The Register, il gruppo ha dichiarato che l’attacco all’FBI non aveva scopi economici: voleva ribattere alla nota con cui il 15 maggio 2026 l’FBI aveva sconsigliato alle vittime di pagare. Un portavoce l’ha definito «un’iniziativa di pubbliche relazioni e di marketing» per la propria attività.

Secondo Reuters, ripresa da KrebsOnSecurity, i dati esposti riguardano oltre 5.000 persone dell’FBI, con reparto, specializzazione e anche documentazione medica e psichiatrica.

Brett Leatherman, vicedirettore della Cyber Division dell’FBI, ha dichiarato a Reuters che l’incidente deriva da un difetto di sicurezza di una piattaforma gestita da un’organizzazione terza, dopo che un fornitore non aveva installato una patch rilasciata proprio per proteggerla. L’FBI ha allontanato il fornitore. L’FBI non ha fatto nomi; secondo due fonti di Reuters, citate da CSO Online e KrebsOnSecurity, l’organizzazione terza è Accenture e la piattaforma è Oracle PeopleSoft, il sistema per assunzioni, risorse umane e paghe che ShinyHunters aveva già indicato come porta d’ingresso.

Sul fronte delle indagini:

• il 15 settembre la polizia olandese ha arrestato un ventiquattrenne, già condannato in passato per furti di dati ed estorsioni, che l’FBI descrive come «uno dei presunti leader» di ShinyHunters;
• a fine settembre le autorità giordane hanno fermato ad Amman un giovane noto con lo pseudonimo Rey, che secondo Reuters collabora con l’FBI per identificare gli altri membri;
• il 5 ottobre l’FBI ha confermato a The Register di aver arrestato, con i partner, «più soggetti», senza dare dettagli.

Secondo KrebsOnSecurity, al momento del fermo di Rey il gruppo stava cercando di estorcere Jeppesen ForeFlight, l’unità di navigazione aerea ceduta da Boeing nel 2025. Boeing ha dichiarato di essere a conoscenza delle rivendicazioni e di verificarle; Jeppesen ForeFlight afferma di non aver riscontrato impatti su attività e prodotti.

Dettagli tecnici

• Vulnerabilità: secondo KrebsOnSecurity, il gruppo è entrato nel sistema dell’FBI e in quelli di altre vittime sfruttando CVE-2026-35273 in Oracle PeopleSoft. È sfruttata come zero-day da giugno; Oracle ha rilasciato la correzione poco dopo.
• Mitigazione aggirata: per chi non poteva aggiornare subito, Mandiant aveva pubblicato regole per web application firewall (WAF). Nelle ultime settimane ShinyHunters le ha aggirate con un noto espediente di codifica degli URL (URL encoding).
• Sfruttamento di massa: in un rapporto del 25 settembre, Mandiant e il Google Threat Intelligence Group confermano che il gruppo ha sfruttato la vulnerabilità su larga scala, rubando dati da decine di sistemi in istruzione superiore, tecnologia, sanità, agricoltura, trasporti ed enti pubblici.
• Modello operativo: secondo fonti vicine alle indagini citate da KrebsOnSecurity, ShinyHunters funziona ormai come un marchio in franchising. Gli affiliati forniscono credenziali rubate per piattaforme SaaS di grandi aziende e ricevono una quota dei riscatti.
• Pressione sulle vittime: la nota dell’FBI del 15 maggio descrive messaggi e telefonate minatorie a vittime e familiari, casi di swatting e false affermazioni sul possesso di materiale compromettente.
• MITRE ATT&CK (mappatura dai fatti riportati): T1190 (Exploit Public-Facing Application), T1078 (Valid Accounts) per gli accessi con credenziali rubate, T1657 (Financial Theft) per l’estorsione.

Impatto per le aziende europee e italiane

PeopleSoft è diffuso anche in Europa per la gestione del personale. I dati che contiene (anagrafiche, retribuzioni, dati sanitari) sono spesso categorie particolari ai sensi del GDPR: una violazione comporta la valutazione della notifica al Garante entro 72 ore e, nei casi più gravi, la comunicazione agli interessati.

Il caso dell’FBI riguarda soprattutto la catena di fornitura. La NIS2 chiede ai soggetti essenziali e importanti di gestire la sicurezza dei fornitori e la gestione delle vulnerabilità; un sistema affidato a un fornitore resta un rischio tuo. Tra i settori colpiti c’è la sanità, dove i sistemi del personale sono collegati a turni e accessi clinici.

Cosa fare subito

1. Fai l’inventario: elenca tutte le istanze PeopleSoft, comprese quelle ospitate o gestite da fornitori e società di outsourcing.
2. Verifica la patch, con prove: chiedi al fornitore il livello di aggiornamento effettivo rispetto alla correzione Oracle per CVE-2026-35273. Una dichiarazione generica non basta.
3. Non affidarti solo al WAF: le regole temporanee sono state aggirate. Controlla che il WAF decodifichi e normalizzi gli URL prima di applicare le regole, e consideralo una misura di attesa, non una soluzione.
4. Cerca segni di sfruttamento: analizza i log del server web e del WAF delle istanze PeopleSoft da giugno in poi, con attenzione alle richieste con percorsi codificati e alle esportazioni di dati anomale. Usa gli indicatori del rapporto di Mandiant e GTIG.
5. Proteggi gli accessi SaaS: autenticazione a più fattori su tutte le piattaforme SaaS, revisione delle sessioni attive e rotazione delle credenziali esposte.
6. Prepara la risposta all’estorsione: prevedi nel piano di risposta contatti diretti con dipendenti e familiari, segnalazione alle forze dell’ordine e, per i soggetti NIS2, la notifica allo CSIRT Italia dell’ACN.
7. Rivedi i contratti: inserisci tempi massimi per l’applicazione delle patch critiche e l’obbligo di comunicarne lo stato.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note, e segnala gli account aziendali coinvolti in violazioni. ARX Shield elenca le vulnerabilità aperte per macchina e per pacchetto, con quelle già sfruttate in evidenza. ARX Sentry raccoglie i log di server e firewall e raggruppa gli accessi falliti e le raffiche di tentativi, utili per accorgersi in tempo di credenziali rubate.

Ultimo aggiornamento: 7 ottobre 2026