Grupa cyberwymuszeniowa ShinyHunters twierdzi, że włamała się do systemów powiązanych z amerykańskim Federalnym Biurem Śledczym (FBI) i wykradła wrażliwe informacje dotyczące obecnych i byłych pracowników oraz kandydatów do pracy w FBI.
Informacja pojawiła się 22 września 2026 r., kiedy ShinyHunters oświadczyło, że przejęło kontrolę nad systemami FBI i zdobyło obszerne dane pracowników oraz kandydatów. Grupa przypisała włamanie rzekomej nieznanej wcześniej luce w Oracle PeopleSoft.
Należy jednak zachować ważne rozróżnienie: FBI potwierdziło, że prowadzi dochodzenie w sprawie nieautoryzowanej aktywności dotyczącej FBIJobs.gov, ale nie potwierdziło, że ShinyHunters włamało się do korporacyjnych systemów FBI ani że deklarowany przez grupę zbiór danych i metoda ataku są prawdziwe.
Co twierdzi ShinyHunters
Według oświadczeń przypisywanych ShinyHunters atakujący uzyskali dostęp przez infrastrukturę rekrutacyjną FBI, a następnie dotarli do wielu usług wewnętrznych.
Grupa twierdzi, że zdobyła informacje dotyczące:
- obecnych i byłych pracowników FBI
- kandydatów do pracy w FBI
- akt osobowych
- danych kontaktowych
- wewnętrznych katalogów
- informacji związanych z zatrudnieniem
- danych z identyfikatorów lub przepustek
- innych wewnętrznych danych operacyjnych
Część doniesień opisuje również rzekome włamania do systemów określanych jako HR, Medlink, Criminal Justice i innych usług FBI. Grupa twierdzi, że dysponuje zbiorem danych liczonym w terabajtach, choć jego dokładny rozmiar i zawartość nie zostały niezależnie potwierdzone.
Te szczegóły należy obecnie traktować jako twierdzenia atakujących, a nie potwierdzone fakty.
Rzekoma luka zero-day w Oracle PeopleSoft
ShinyHunters twierdzi, że początkowe włamanie wykorzystało nową lukę w Oracle PeopleSoft, która miała umożliwiać zdalne wykonanie kodu bez uwierzytelniania.
Tej rzekomej luce zero-day nie przypisano publicznego identyfikatora CVE, a ani Oracle, ani FBI nie potwierdziły publicznie istnienia konkretnej luki opisanej przez ShinyHunters.
Ma to szczególne znaczenie, ponieważ Oracle ujawniło poważną lukę w PeopleSoft na początku tego roku.
10 czerwca Oracle opublikowało alert bezpieczeństwa dotyczący CVE-2026-35273, który obejmuje PeopleSoft PeopleTools w wersjach 8.61 i 8.62.
Oracle opisało CVE-2026-35273 jako lukę możliwą do zdalnego wykorzystania bez uwierzytelniania i mogącą prowadzić do zdalnego wykonania kodu. Oracle przyznało jej ocenę CVSS 3.1 równą 9,8 i wydało poprawki oraz wskazówki dotyczące łagodzenia skutków.
Badacze bezpieczeństwa informowali, że ShinyHunters wykorzystało tę lukę we wcześniejszej części 2026 roku.
Jednak CVE-2026-35273 nie należy automatycznie utożsamiać z nowo zgłoszonym atakiem na FBI.
ShinyHunters twierdzi, że włamanie do FBI wykorzystało nową lukę zero-day w PeopleSoft, podczas gdy publicznie udokumentowana luka CVE została już ujawniona i załatana przez Oracle w czerwcu. Obecnie nie ma publicznych dowodów technicznych wskazujących, czy w incydencie w FBI użyto CVE-2026-35273, czy innej luki.
Co potwierdziło FBI
FBI przyznało, że doszło do nieautoryzowanej aktywności dotyczącej FBIJobs.gov, i oświadczyło, że prowadzi dochodzenie.
W kolejnym oświadczeniu biuro poinformowało, że sprawdza, czy incydent dotyczył zewnętrznego podmiotu wspierającego FBIJobs.gov, czy własnego środowiska korporacyjnego FBI.
To rozróżnienie ma kluczowe znaczenie.
Włamanie do portalu rekrutacyjnego dostępnego z internetu lub do jego dostawców usług nie dowodzi automatycznie naruszenia szerszej sieci wewnętrznej FBI.
FBI nie potwierdziło też publicznie:
- deklarowanej luki zero-day w PeopleSoft
- rzekomego zbioru danych o wielkości 2–3 TB
- naruszenia wszystkich akt pracowników FBI
- naruszenia systemów operacyjnych FBI
- pełnej listy dotkniętych usług
- dokładnej ścieżki ataku
- że wszystkie dane zaprezentowane przez ShinyHunters pochodzą z systemów FBI
CBS News poinformowało, że dziennikarze zbadali próbki przedstawiane jako akta osobowe pracowników FBI lub Departamentu Sprawiedliwości, a niektóre z nich wydawały się odpowiadać prawdziwym osobom. Samo to nie wyjaśnia jednak, w jaki sposób te dane zdobyto, ani nie dowodzi pełnego zakresu deklarowanego przez ShinyHunters.
Dlaczego ten incydent ma znaczenie
Nawet bez potwierdzenia pełnego zakresu deklarowanego włamania incydent uwidacznia poważne wyzwanie dla firm i instytucji rządowych korzystających z dużych platform korporacyjnych.
PeopleSoft jest szeroko stosowany do takich funkcji jak:
- zarządzanie zasobami ludzkimi
- rekrutacja
- płace
- administracja studentami
- zarządzanie finansami
Luka w komponencie PeopleSoft dostępnym z internetu może więc potencjalnie otworzyć dostęp do bardzo wrażliwych informacji.
Czerwcowy alert bezpieczeństwa Oracle pokazuje, że nie jest to wyłącznie teoria. CVE-2026-35273 umożliwia wykorzystanie przez sieć bez uwierzytelniania i może skutkować przejęciem PeopleSoft PeopleTools.
Powierzchnia ataku FBIJobs.gov
Infrastruktura rekrutacyjna FBI jest szczególnie interesująca, ponieważ została zaprojektowana do kontaktu z osobami spoza biura.
Kandydaci do pracy mogą przesyłać:
- dane osobowe
- historię zatrudnienia
- dane kontaktowe
- dane identyfikacyjne
- dokumenty uzupełniające
- inne informacje wymagane w procesie rekrutacji
Dlatego systemy rekrutacyjne są atrakcyjnym celem, nawet jeśli są całkowicie odseparowane od niejawnych lub operacyjnych systemów FBI.
Atakujący niekoniecznie potrzebuje dostępu do wrażliwych systemów śledczych, aby zdobyć cenne informacje.
Dane pracowników i kandydatów mogą być same w sobie bardzo wrażliwe.
Deklarowany motyw ShinyHunters
Grupa oświadczyła, że incydent nie był motywowany przede wszystkim finansowo.
Zamiast tego ShinyHunters twierdzi, że zaatakowało FBI w odpowiedzi na ostrzeżenie FBI z maja 2026 r., opisujące działalność i taktyki grupy.
Majowe ostrzeżenia FBI dotyczyły aktywności powiązanej z ShinyHunters, obejmującej skradzione dane uwierzytelniające, relacje z chmurą i dostawcami, kradzież danych oraz wymuszenia. Biuro ostrzegało również, że podmioty posługujące się nazwą ShinyHunters mogą wysuwać przesadzone twierdzenia oraz stosować nękanie lub inne metody wywierania presji.
ShinyHunters zakwestionowało te opisy i zażądało, aby FBI wycofało lub sprostowało elementy swojego wcześniejszego ostrzeżenia.
To czyni obecny incydent szczególnie niezwykłym: atakujący publicznie przedstawiają rzekome włamanie częściowo jako reakcję na wcześniejsze ostrzeżenia agencji dotyczące cyberprzestępczości.
Ostrzeżenie przed twierdzeniami atakujących
Ta sprawa pokazuje również, dlaczego w doniesieniach o cyberbezpieczeństwie trzeba odróżniać dowody od oświadczeń atakujących.
Grupy przestępcze mają silną motywację, aby formułować spektakularne twierdzenia dotyczące:
- ilości skradzionych danych
- liczby ofiar
- systemów, które przejęły
- poziomu uzyskanego dostępu
- luk, które rzekomo wykorzystały
Niektóre twierdzenia mogą się później okazać prawdziwe. Inne mogą być przesadzone lub częściowo nieprawdziwe.
W tym przypadku niezależne doniesienia wskazują, że niektóre dane przedstawione przez atakujących odpowiadają prawdziwym pracownikom FBI lub Departamentu Sprawiedliwości. Sprawia to, że twierdzenia zasługują na zbadanie, ale nie ustala jeszcze pełnego przebiegu ataku.
Co powinny zrobić firmy korzystające z PeopleSoft
Incydent w FBI to przydatne przypomnienie dla firm korzystających ze środowisk PeopleSoft, aby przejrzały swoją ekspozycję, niezależnie od tego, czy twierdzenie o nowej luce zero-day zostanie ostatecznie potwierdzone.
✅ Potwierdź wersje PeopleSoft
Zidentyfikuj wszystkie instalacje PeopleSoft PeopleTools dostępne z internetu i ustal, czy działają na podatnych wersjach.
✅ Załataj znane luki
Oracle zdecydowanie zaleca niezwłoczne instalowanie aktualizacji zabezpieczeń.
W szczególności firmy korzystające z podatnych wersji PeopleTools powinny sprawdzić, czy zainstalowano poprawki dla CVE-2026-35273 i innych istotnych luk w PeopleSoft.
✅ Ogranicz ekspozycję w internecie
Interfejsy administracyjne i zarządzania PeopleSoft nie powinny być niepotrzebnie wystawione na publiczny internet.
Tam, gdzie to możliwe, stosuj:
- VPN lub ZTNA
- segmentację sieci
- reverse proxy
- listy kontroli dostępu
- silne uwierzytelnianie
- dedykowane sieci administracyjne
✅ Przeglądaj logi uwierzytelniania i aplikacji
Zespoły ds. bezpieczeństwa powinny szukać:
- nieoczekiwanej aktywności administracyjnej
- nietypowych żądań do PeopleSoft
- nowych kont lub uprawnień
- nieoczekiwanych zmian konfiguracji
- podejrzanych połączeń wychodzących
- dużych zapytań do bazy danych
- nietypowych eksportów danych
- dostępu z nieznanych adresów IP
✅ Zbadaj połączenia z podmiotami zewnętrznymi
Jeśli publiczna platforma rekrutacyjna lub HR jest obsługiwana z udziałem zewnętrznego dostawcy, przejrzyj dostęp tego dostawcy i jego mechanizmy zabezpieczeń.
Samo FBI oświadczyło, że bada rolę zewnętrznych dostawców wspierających FBIJobs.gov.
Najważniejsza lekcja
Najważniejszą lekcją z rzekomego incydentu w FBI niekoniecznie jest deklarowana ilość skradzionych danych.
Jest nią potencjalna ścieżka ataku przez aplikację korporacyjną wykorzystywaną w wrażliwych procesach biznesowych.
System PeopleSoft może znajdować się na styku:
Internet → portal rekrutacyjny → serwer aplikacji → systemy HR → baza danych pracowników
Jeśli jeden wystawiony komponent zostanie przejęty, atakujący może próbować przedostać się głębiej do środowiska.
Dlatego aplikacje korporacyjne należy traktować jako część obwodu bezpieczeństwa, a nie wyłącznie jako oprogramowanie biznesowe.
Podsumowanie
Twierdzenie ShinyHunters dotyczące FBI jest poważne, ale dostępne obecnie dowody uzasadniają bardziej wyważony wniosek.
FBI potwierdziło dochodzenie w sprawie nieautoryzowanej aktywności dotyczącej FBIJobs.gov. ShinyHunters przyznaje się do ataku i twierdzi, że wykorzystało nową lukę zero-day w Oracle PeopleSoft, aby wykraść obszerne dane pracowników i kandydatów. FBI nie potwierdziło rzekomej luki zero-day, pełnego zbioru danych ani naruszenia szerszych systemów korporacyjnych.
Incydent stanowi jednak cenne ostrzeżenie dla każdej firmy korzystającej z PeopleSoft lub podobnych platform korporacyjnych.
Znane luki trzeba szybko łatać, interfejsy dostępne z internetu należy ograniczać do minimum, a zespoły ds. bezpieczeństwa potrzebują widoczności zarówno w własnej infrastrukturze, jak i w usługach podmiotów zewnętrznych.
Gdy aplikacja korporacyjna przetwarza wrażliwe dane pracowników, jej bezpieczeństwo trzeba traktować jako krytyczny element ogólnej granicy bezpieczeństwa firmy — niezależnie od tego, czy najbardziej spektakularne twierdzenia atakującego ostatecznie okażą się prawdziwe.
