ShinyHunters, FBI și PeopleSoft: arestări și un patch neaplicat

📌 Evoluții ulterioare: ShinyHunters: negociator de răscumpărări arestat în SUA (10 octombrie 2026)

În a doua jumătate a lunii septembrie, grupul de furt de date și extorcare ShinyHunters a compromis FBIJobs.gov, portalul de recrutare al FBI, și a revendicat furtul datelor personale ale angajaților actuali, foștilor angajați și candidaților. Acum FBI confirmă mai multe arestări legate de atac și indică și cauza: un patch de securitate pe care un furnizor extern nu l-a aplicat pe o platformă administrată de el.

Pentru cine administrează sisteme de business, concluzia tehnică este aceasta: un atac de mare vizibilitate a reușit printr-o vulnerabilitate deja corectată, pe un sistem administrat de un terț.

Ce s-a întâmplat

Potrivit The Register, grupul a declarat că atacul asupra FBI nu a avut scopuri financiare: voia să răspundă notei prin care, pe 15 mai 2026, FBI le recomanda victimelor să nu plătească. Un purtător de cuvânt l-a numit „o inițiativă de relații publice și de marketing” pentru afacerea grupului.

Potrivit Reuters, citată de KrebsOnSecurity, datele expuse privesc peste 5.000 de persoane din FBI și includ unitatea, specializarea și chiar documente medicale și psihiatrice.

Brett Leatherman, director adjunct al Cyber Division a FBI, a declarat pentru Reuters că incidentul se datorează unei breșe de securitate a unei platforme administrate de o organizație terță, după ce un furnizor nu a instalat un patch emis tocmai pentru a o proteja. FBI a îndepărtat furnizorul. FBI nu a dat nume; potrivit a două surse Reuters, citate de CSO Online și KrebsOnSecurity, organizația terță este Accenture, iar platforma este Oracle PeopleSoft, sistemul de recrutare, resurse umane și salarizare pe care ShinyHunters îl indicase deja drept punct de intrare.

În ceea ce privește ancheta:

• pe 15 septembrie poliția olandeză a arestat un bărbat de 24 de ani, condamnat anterior pentru furt de date și extorcare, pe care FBI îl descrie drept „unul dintre presupușii lideri” ai ShinyHunters;
• la sfârșitul lui septembrie autoritățile iordaniene au reținut la Amman un tânăr cunoscut sub pseudonimul Rey, care potrivit Reuters cooperează cu FBI pentru identificarea celorlalți membri;
• pe 5 octombrie FBI a confirmat pentru The Register că, împreună cu partenerii, a arestat „mai multe persoane”, fără alte detalii.

Potrivit KrebsOnSecurity, în momentul reținerii lui Rey grupul încerca să extorcheze Jeppesen ForeFlight, unitatea de navigație aeriană vândută de Boeing în 2025. Boeing a declarat că are cunoștință de revendicări și că le verifică; Jeppesen ForeFlight afirmă că nu a constatat niciun impact asupra activității și produselor sale.

Detalii tehnice

• Vulnerabilitate: potrivit KrebsOnSecurity, grupul a pătruns în sistemul FBI și în cele ale altor victime exploatând CVE-2026-35273 din Oracle PeopleSoft. Este exploatată ca zero-day din iunie; Oracle a publicat corecția la scurt timp după aceea.
• Măsură temporară ocolită: pentru cine nu putea actualiza imediat, Mandiant publicase reguli pentru web application firewall (WAF). În ultimele săptămâni ShinyHunters le-a ocolit cu un truc cunoscut de codificare a URL-urilor (URL encoding).
• Exploatare în masă: într-un raport din 25 septembrie, Mandiant și Google Threat Intelligence Group confirmă că grupul a exploatat vulnerabilitatea la scară largă, furând date din zeci de sisteme din învățământul superior, tehnologie, sănătate, agricultură, transporturi și administrație publică.
• Model de operare: potrivit unor surse apropiate de anchetă citate de KrebsOnSecurity, ShinyHunters funcționează acum ca o marcă în franciză. Afiliații furnizează credențiale furate pentru platforme SaaS ale marilor companii și primesc o parte din răscumpărări.
• Presiune asupra victimelor: nota FBI din 15 mai descrie mesaje și apeluri amenințătoare către victime și familiile lor, cazuri de swatting și afirmații false privind deținerea unor materiale compromițătoare.
• MITRE ATT&CK (corespondență pe baza faptelor raportate): T1190 (Exploit Public-Facing Application), T1078 (Valid Accounts) pentru accesul cu credențiale furate, T1657 (Financial Theft) pentru extorcare.

Impactul pentru companiile europene și italiene

PeopleSoft este răspândit și în Europa pentru gestionarea personalului. Datele pe care le conține (date de identificare, salarii, date medicale) sunt adesea categorii speciale conform GDPR: o breșă impune evaluarea notificării către autoritatea de supraveghere în 72 de ore și, în cazurile cele mai grave, informarea persoanelor vizate.

Mai presus de toate, cazul FBI ține de lanțul de aprovizionare. NIS2 cere entităților esențiale și importante să gestioneze securitatea furnizorilor și vulnerabilitățile; un sistem încredințat unui furnizor rămâne riscul tău. Printre sectoarele afectate se află sănătatea, unde sistemele de personal sunt legate de ture și de accesul la sistemele clinice.

Ce să faci acum

1. Fă inventarul: listează toate instanțele PeopleSoft, inclusiv cele găzduite sau administrate de furnizori și firme de outsourcing.
2. Verifică patch-ul, cu dovezi: cere furnizorului nivelul real de actualizare față de corecția Oracle pentru CVE-2026-35273. O declarație generică nu este suficientă.
3. Nu te baza doar pe WAF: regulile temporare au fost ocolite. Verifică dacă WAF-ul decodifică și normalizează URL-urile înainte de a aplica regulile și tratează-l ca pe o măsură provizorie, nu ca pe o soluție.
4. Caută semne de exploatare: analizează jurnalele serverului web și ale WAF-ului pentru instanțele PeopleSoft începând din iunie, cu atenție la cererile cu căi codificate și la exporturile de date neobișnuite. Folosește indicatorii din raportul Mandiant și GTIG.
5. Protejează accesul SaaS: autentificare multifactor pe toate platformele SaaS, revizuirea sesiunilor active și schimbarea credențialelor expuse.
6. Pregătește răspunsul la extorcare: include în planul de răspuns contactul direct cu angajații și familiile lor, sesizarea organelor de ordine și, pentru entitățile NIS2, notificarea către CSIRT-ul național.
7. Revizuiește contractele: stabilește termene maxime pentru aplicarea patch-urilor critice și obligația de a raporta stadiul lor.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute, și semnalează conturile companiei implicate în breșe. ARX Shield listează vulnerabilitățile deschise pe mașină și pe pachet, cu cele deja exploatate puse în evidență. ARX Sentry colectează jurnalele serverelor și firewall-urilor și grupează autentificările eșuate și rafalele de încercări, utile pentru a observa la timp credențialele furate.

Ultima actualizare: 7 octombrie 2026