El grupo ShinyHunters afirma haber robado más de 297 GB de datos del Consejo de Europa, incluyendo registros médicos y financieros, explotando una vulnerabilidad de Oracle PeopleSoft. Este fallo ha afectado a más de 100 organizaciones, principalmente en el sector educativo de EE. UU. y el Reino Unido. El ataque forma parte de una serie de intrusiones masivas contra instituciones académicas y plataformas tecnológicas.




ShinyHunters afirma haber vulnerado el Consejo de Europa y robado más de 297 GB de datos tras explotar un fallo de día cero en Oracle PeopleSoft y abusar de dicho agujero para hackear a más de 100 organizaciones.

Según una publicación en el sitio de filtraciones del grupo de extorsión, los 429.000 archivos sustraídos contienen registros de RRHH y nóminas, recibos de pago, registros de órdenes de compra, currículums y registros salariales, bancarios, fiscales y médicos de los empleados.

Un portavoz del Consejo de Europa dijo que "actualmente está investigando el asunto y evaluando la situación", pero declinó hacer más comentarios.

Un portavoz del grupo de cibercrimen nos dijo que el Consejo es una víctima más del robo de Oracle PeopleSoft. Oracle aún no ha respondido a las consultas, y no está claro si la vulnerabilidad, identificada como CVE-2026-35273, ha sido parcheada.

ShinyHunters nos dijo anteriormente que la banda explotó la CVE para comprometer a más de 100 organizaciones en 300 instancias vulnerables, y que entre estas víctimas se encontraba la Universidad de Nottingham.

La semana pasada, los criminales incluyeron a la universidad británica en su sitio de filtraciones y luego volcaron datos pertenecientes a unos 454.600 estudiantes y exalumnos, incluidos registros personales y académicos.

Mientras tanto, un informe de amenazas de Google publicado a finales de la semana pasada señaló actividad maliciosa, "consistente con la explotación de CVE-2026-35273", entre el 27 de mayo y el 9 de junio, y afirmó que sus equipos de respuesta notificaron a más de 100 organizaciones globales "cuyas direcciones IP correlacionaban con endpoints potencialmente vulnerables".

La mayoría de estas son organizaciones con sede en EE. UU., y el 68 por ciento operaba dentro del sector de la educación superior.

Este último robo sigue a otra intrusión de ShinyHunters dirigida a datos pertenecientes a estudiantes universitarios y de primaria/secundaria (K-12), profesores y personal.

A mediados de mayo, el gigante de la tecnología educativa Instructure dijo que "llegó a un acuerdo" —lenguaje corporativo para decir que "pagó el rescate"— con la banda de robo de datos y extorsión después de que ShinyHunters vulnerara su plataforma de aprendizaje digital Canvas y accediera a datos vinculados a 275 millones de estudiantes, profesores y personal.

En marzo, ShinyHunters afirmó haber robado datos del proveedor de software K-12 Infinite Campus como parte de una ola más amplia de intrusiones relacionadas con Salesforce. La empresa de tecnología educativa no pagó, y el grupo publicó posteriormente datos que afirman haber robado de Infinite Campus, incluidas las direcciones de correo electrónico de 137.000 personas [enlace] junto con nombres, números de teléfono, direcciones físicas y tickets de soporte.

Infinite Campus, en su notificación de brecha de datos, dijo que los archivos filtrados consistían principalmente en "nombres e información de contacto del personal escolar" y que "la mayoría es información de directorio que se encuentra comúnmente en los sitios web escolares".

Fuente:
TheRegister