ShinyHunters afirma hackeo del FBI y robo de datos en la violación de día cero de PeopleSoft

Actualización: Se agregó la declaración del FBI a continuación.

La banda de extorsión ShinyHunters afirma haber violado los sistemas del FBI utilizando una nueva vulnerabilidad de día cero de Oracle PeopleSoft, accediendo a servicios internos y robando datos confidenciales sobre empleados y solicitantes de empleo.

Los actores de amenazas le dijeron a BleepingComputer que la vulnerabilidad permitía la ejecución remota de código y lo usaron el lunes por la noche para obtener acceso a los sistemas del FBI antes de pasar lateralmente a la infraestructura AWS GovCloud administrada por el FBI.

ShinyHunters afirma haber robado entre 2 TB y 3 TB de datos de la agencia, incluida información sobre empleados actuales y anteriores del FBI, solicitantes de empleo y otros archivos internos.

El grupo también afirma que comprometió el FBI Criminal Justice, HR, Medlink y otros servicios durante la intrusión.

ShinyHunters afirma que ahora está explotando el mismo supuesto exploit de día cero contra otras organizaciones, incluidas las empresas Fortune 500.

BleepingComputer no ha verificado de forma independiente los supuestos días cero, los movimientos laterales o la cantidad de datos robados.

El FBI ha confirmado a BleepingComputer que está investigando las afirmaciones, pero no ha confirmado si sus sistemas fueron vulnerados o robados.

“El FBI está al tanto de las denuncias de actividad no autorizada que afectan a FBIjobs.gov y actualmente está investigando”, dijo el FBI a BleepingComputer.

Sin embargo, ShinyHunters compartió una captura de pantalla con BleepingComputer que muestra el sitio web de Empleos del FBI en apply.fbijobs.gov desfigurado con el logotipo de Pokémon Umbreon del grupo y un mensaje que dice que la información de los empleados y solicitantes del FBI se ha visto comprometida.

El descargo de responsabilidad decía: “Este sitio ha sido secuestrado por SHINYHUNTERS. Rooteando sus sistemas desde ’19;)”.

El mensaje decía además que se robó información confidencial de identificación personal y relacionada con la salud perteneciente a empleados y solicitantes del FBI.

“Todos los datos del FBI fueron comprometidos, incluida la PII/PHI confidencial de ex y ex empleados del FBI y toda la información de los solicitantes”, escribió en un mensaje en el desaparecido sitio.

“Tenemos mucho más de lo que afirmamos aquí. Gracias por su atención a este asunto”.

ShinyHunters le dijo a BleepingComputer que el FBI rápidamente se dio cuenta de la intrusión, inmediatamente desconectó los sistemas afectados y que el sitio de trabajos del FBI ahora muestra un mensaje de mantenimiento.

El grupo también afirmó que el acceso a varias redes del FBI fue suspendido simultáneamente después de que la agencia detectó la intrusión.

“Literalmente desconectaron todo”, dijo ShinyHunters.

Los actores de amenazas compartieron dos archivos de muestra con BleepingComputer que, según el grupo, fueron robados durante el ataque, incluidos datos supuestamente asociados con el personal del FBI.

Un archivo contenía información supuestamente asociada con un agente especial del FBI involucrado en una investigación anterior de BreachForums, mientras que otro contenía información supuestamente asociada con el director del FBI Kash Patel.

BleepingComputer no publica la información personal contenida en estos archivos y no verifica de forma independiente su autenticidad o fuente.

404 Media informó por primera vez sobre la presunta infracción después de recibir una muestra de aproximadamente 5.000 registros de empleados del FBI.

La publicación dijo que verificó que parte de la información de la muestra era precisa, como los números de teléfono correspondientes a personas con los mismos nombres y los números asociados con el personal del Departamento de Justicia de Estados Unidos.

Presunto día cero de PeopleSoft

ShinyHunters afirma que obtuvieron acceso inicial a través de una nueva vulnerabilidad de día cero en Oracle PeopleSoft que aún no ha sido parcheada.

“El producto de Oracle que explotamos el día 0 fue PeopleSoft. Ayer encontramos otro y lo explotamos inmediatamente en el FBI”, dijo ShinyHunters a BleepingComputer.

El grupo también afirma que intentó borrar evidencia de sus actividades de los servidores comprometidos para hacer que el día cero fuera más difícil de identificar.

ShinyHunters también le dijo a BleepingComputer que ahora está utilizando la misma vulnerabilidad de PeopleSoft para apuntar a corporaciones Fortune 500 después de apuntar al sector educativo.

ShinyHunters dice que los datos robados del FBI provienen de sistemas a los que se accedió después del compromiso inicial de PeopleSoft.

Estos sistemas supuestamente incluyen el entorno AWS GovCloud del FBI, que se utilizó para almacenar información de empleados y solicitantes.

BleepingComputer se puso en contacto con los equipos de inteligencia de amenazas de Mandiant Oracle y Google Cloud para determinar si tienen conocimiento de una nueva vulnerabilidad de PeopleSoft o una actividad de explotación relacionada.

Represalias contra el informe del FBI

ShinyHunters publicó más tarde una extensa declaración en su sitio web diciendo que el ataque fue en represalia por un informe FLASH del FBI que detalla a ShinyHunters publicado en mayo de 2026.

El grupo analiza las afirmaciones de que los actores de ShinyHunters pueden exagerar el acceso a información confidencial, acosar a las víctimas y sus familias, realizar ataques de aplastamiento y afirmar falsamente que poseen material comprometedor.

Los actores de amenazas han negado las acusaciones y también han desestimado las afirmaciones de que él es parte de “The Com”, una comunidad de cibercrimen informal a menudo vinculada a violaciones de datos, ataques de robo de criptomonedas y a la que con frecuencia hacen referencia las autoridades y los investigadores de seguridad.

En el comunicado, ShinyHunters le dio al FBI una semana para corregir o retirar el informe FLASH, afirmando que la solicitud no tenía motivación financiera y no era una extorsión.

Cuando se le preguntó si el grupo habría publicado los datos robados del FBI si la agencia no hubiera realizado cambios en el informe, ShinyHunters se negó a responder.

“Sin comentarios”, dijo el actor amenazador a BleepingComputer.

Cuando BleepingComputer preguntó a los principales representantes de la banda de extorsión ShinyHunters si les preocupaba que esto llevara a una mayor presión por parte del gobierno de Estados Unidos para arrestarlos, respondieron: “No me importa”.

El supuesto día cero de PeopleSoft no sería la primera vez que se vincula a ShinyHunters con la explotación de una vulnerabilidad de Oracle previamente desconocida.

Durante la campaña Clop de Oracle E-Business Suite de 2025 para el robo de datos, ShinyHunters formó parte de un grupo que se hacía llamar “Scattered Lapsus$ Hunters” que filtró un exploit de prueba de concepto que Oracle confirmó más tarde que coincidía con el utilizado en los ataques.

ShinyHunters luego le dijo a BleepingComputer que el exploit les pertenecía y que la banda de ransomware Clop lo obtuvo sin permiso.

Esta controversia resurgió la semana pasada cuando ShinyHunters violó y desfiguró el sitio de filtración de datos de Clop, alegando que había robado datos del servidor y claves privadas para su servicio Tor Onion.

Luego, el grupo agregó Clop a su propio sitio de filtración y amenazó con llevar a cabo la operación de ransomware, diciendo que el ataque fue en represalia por las amenazas realizadas durante la campaña de Oracle E-Business Suite.

BleepingComputer se ha comunicado con los equipos de inteligencia de amenazas de Oracle y Google Cloud de Mandiant con respecto a la supuesta infracción y el día cero de PeopleSoft y actualizará esta historia si recibimos una respuesta.