El grupo de extorsión cibernética ShinyHunters afirmó haber vulnerado sistemas pertenecientes a la Oficina Federal de Investigación de Estados Unidos (FBI) utilizando una supuesta vulnerabilidad de día cero en Oracle PeopleSoft, y que posteriormente pasó de los sistemas iniciales a la infraestructura de AWS GovCloud gestionada por la oficina. El grupo afirma haber robado entre 2 y 3 terabytes de datos, incluida información sobre empleados actuales y antiguos, candidatos a puestos de trabajo y otros registros internos.
Sin embargo, esta versión no ha sido demostrada de forma independiente. El FBI confirmó a BleepingComputer que tiene conocimiento de afirmaciones relacionadas con actividad no autorizada que afecta a FBIjobs.gov y que las está investigando, sin confirmar que sus sistemas hayan sido vulnerados ni que se hayan robado datos de ellos.
¿Qué afirma el grupo que ocurrió?
ShinyHunters afirmó que obtuvo acceso inicial mediante una nueva vulnerabilidad en PeopleSoft que permite ejecutar código de forma remota, y que la explotó el lunes por la noche antes de pasar a servicios internos y al entorno de AWS GovCloud perteneciente a la oficina. También afirmó haber vulnerado servicios que incluyen Criminal Justice, HR y Medlink, además de otros sistemas.
El grupo publicó una captura de pantalla del sitio apply.fbijobs.gov en la que aparecía su logotipo y un mensaje que indicaba que se había apoderado del sitio, junto con la afirmación de que había robado información de identificación personal y datos de salud de empleados del FBI y candidatos a puestos de trabajo. Dijo que la oficina aisló los sistemas afectados y suspendió el acceso a múltiples redes tras detectar la actividad, mientras que el sitio muestra actualmente un mensaje de mantenimiento, según su versión.
El grupo también presentó dos registros de muestra que, según afirmó, fueron robados durante el ataque: uno relacionado con un empleado del FBI y otro con el director de la oficina, Kash Patel. BleepingComputer no publicó los datos personales incluidos en los dos registros ni verificó su autenticidad o procedencia. 404 Media había informado anteriormente sobre una muestra que incluía unos 5.000 registros atribuidos a empleados del FBI, y afirmó que algunos datos coincidían con números de teléfono e información relacionada con empleados del Departamento de Justicia de Estados Unidos.
Una vulnerabilidad no confirmada y la afirmación de que se atacó a otras organizaciones
ShinyHunters afirma que la vulnerabilidad de PeopleSoft aún no ha sido parcheada, y que encontró otra vulnerabilidad en el producto y la utilizó inmediatamente contra el FBI. Añadió que está tratando de eliminar los rastros de su actividad de los servidores y que comenzó a utilizar la misma vulnerabilidad contra otras organizaciones, entre ellas empresas de la lista Fortune 500, después de atacar al sector educativo.
BleepingComputer se puso en contacto con Oracle y con el equipo de inteligencia sobre amenazas Mandiant, perteneciente a Google Cloud, para obtener información sobre la supuesta vulnerabilidad de PeopleSoft y cualquier explotación relacionada con ella, y la fuente no informó de ninguna confirmación por parte de las dos empresas.
¿Por qué es importante esta noticia?
La importancia de la afirmación radica en la combinación de tres elementos sensibles: una supuesta vulnerabilidad de día cero en una plataforma empresarial, un posible acceso a un entorno gubernamental en la nube y datos personales y de salud pertenecientes a empleados y candidatos a puestos de trabajo. Sin embargo, la información disponible no demuestra hasta ahora que la intrusión haya ocurrido realmente ni que el volumen de datos robados sea igual a la cifra anunciada por el grupo. Por ello, los detalles del ataque y las muestras publicadas deben tratarse como afirmaciones en investigación, no como hechos definitivos.
Antecedentes de la escalada
ShinyHunters afirmó que el ataque fue una respuesta a un informe FLASH publicado por el FBI en mayo de 2026 sobre el grupo, y dio a la oficina una semana para corregir o eliminar el informe, rechazando describir la medida como una extorsión económica. Cuando se le preguntó si publicaría los datos supuestamente robados si el FBI no respondía, no ofreció una respuesta.
La fuente también relaciona al grupo con una campaña de robo de datos de Oracle E-Business Suite en 2025 y con posteriores disputas con el grupo Clop. Sin embargo, estos antecedentes no confirman la veracidad de la afirmación actual, mientras permanece abierta la cuestión fundamental: ¿se explotó realmente una nueva vulnerabilidad en PeopleSoft y cuál es el alcance del acceso y de los datos que puede demostrarse?