Группа кибервымогателей ShinyHunters заявила, что взломала системы Федерального бюро расследований США (FBI), используя предполагаемую уязвимость нулевого дня в Oracle PeopleSoft, а затем переместилась из первоначальных систем в инфраструктуру AWS GovCloud, управляемую бюро. Группа утверждает, что похитила от 2 до 3 терабайт данных, включая информацию о нынешних и бывших сотрудниках, соискателях и другие внутренние записи.
Однако эта версия не получила независимого подтверждения. FBI сообщило сайту BleepingComputer, что ему известно об утверждениях, касающихся несанкционированной активности, затрагивающей FBIjobs.gov, и что оно расследует их, не подтверждая взлом своих систем или кражу данных из них.
Что, по утверждению группы, произошло?
ShinyHunters заявила, что получила первоначальный доступ через новую уязвимость в PeopleSoft, позволяющую удалённо выполнять код, и что использовала её в понедельник вечером, прежде чем перейти к внутренним сервисам и среде AWS GovCloud бюро. Группа также заявила о взломе сервисов, включая Criminal Justice, HR и Medlink, а также других систем.
Группа опубликовала скриншот сайта apply.fbijobs.gov, на котором отображаются её логотип и сообщение о захвате сайта, заявив о краже персональных идентификационных данных и медицинской информации сотрудников FBI и соискателей. По её словам, после обнаружения активности бюро изолировало затронутые системы и прекратило доступ к нескольким сетям, а сейчас на сайте отображается сообщение о техническом обслуживании.
Группа также предоставила две демонстрационные записи, которые, по её словам, были украдены во время атаки: одна связана с сотрудником FBI, а другая — с директором бюро Кашем Пателем. BleepingComputer не публиковал персональные данные из этих записей и не проверял их подлинность или источник. Ранее 404 Media сообщило об образце, содержащем около 5 000 записей, приписываемых сотрудникам FBI, и заявило, что некоторые сведения совпадали с номерами телефонов и данными, связанными с сотрудниками Министерства юстиции США.
Неподтверждённая уязвимость и утверждение о нападении на другие организации
ShinyHunters утверждает, что уязвимость в PeopleSoft всё ещё не устранена, что группа обнаружила в продукте ещё одну уязвимость и сразу использовала её против FBI. Она добавила, что пытается удалить следы своей активности с серверов и начала использовать ту же уязвимость против других организаций, включая компании из списка Fortune 500, после атак на образовательный сектор.
BleepingComputer связался с Oracle и командой разведки угроз Mandiant, входящей в Google Cloud, чтобы получить информацию о предполагаемой уязвимости PeopleSoft и связанных с ней атаках; источник не сообщил о подтверждении со стороны обеих компаний.
Почему эта новость важна?
Значимость утверждения заключается в сочетании трёх чувствительных элементов: предполагаемой уязвимости нулевого дня в корпоративной платформе, потенциального доступа к государственной облачной среде и персональных и медицинских данных сотрудников и соискателей. Однако имеющиеся сведения пока не подтверждают, что взлом действительно произошёл или что объём похищенных данных соответствует указанному группой числу. Поэтому к деталям атаки и опубликованным образцам следует относиться как к утверждениям, находящимся на стадии расследования, а не как к окончательно установленным фактам.
Предыстория эскалации
ShinyHunters заявила, что атака стала ответом на отчёт FLASH, опубликованный FBI в мае 2026 года и посвящённый группе. Она дала бюро неделю на исправление или удаление отчёта, отвергнув характеристику этого шага как финансового вымогательства. Когда группу спросили, опубликует ли она заявленные данные, если FBI не отреагирует, ответа не последовало.
Источник также связывает группу с кампанией по краже данных из Oracle E-Business Suite в 2025 году и с последующими конфликтами с группой Clop. Однако этот контекст не подтверждает достоверность текущего утверждения, и основной вопрос остаётся открытым: действительно ли была использована новая уязвимость в PeopleSoft и каковы подтверждаемые масштабы доступа и данных?