El grupo de ciberdelincuentes ShinyHunters afirma haber vulnerado los sistemas del FBI mediante un fallo "zero-day" de Oracle PeopleSoft, robando entre 2 y 3 TB de datos sensibles de empleados y aspirantes. Según los atacantes, la acción es una represalia para que el FBI retire un informe previo sobre sus actividades. Aunque han publicado pruebas y desfigurado un sitio web de la agencia, la autenticidad total de la brecha aún no ha sido verificada independientemente.

La banda de extorsión ShinyHunters afirma haber vulnerado los sistemas del FBI utilizando una nueva vulnerabilidad zero-day de Oracle PeopleSoft, obteniendo acceso a servicios internos y robando datos confidenciales de empleados y solicitantes de empleo.

Los actores de amenazas indicaron que la vulnerabilidad permite la ejecución remota de código y que la utilizaron el lunes por la noche para acceder a los sistemas del FBI antes de moverse lateralmente hacia la infraestructura AWS GovCloud gestionada por el FBI.

ShinyHunters afirma haber robado entre 2TB y 3TB de datos de la agencia, incluyendo información de empleados actuales y antiguos del FBI, solicitantes de empleo y otros registros internos.

El grupo también afirma haber comprometido los servicios de Justicia Criminal, Recursos Humanos, Medlink y otros servicios adicionales durante la intrusión.

Además, ShinyHunters sostiene que ahora está explotando el mismo presunto zero-day contra otras organizaciones, incluidas empresas Fortune 500.

No se ha verificado de forma independiente el presunto zero-day, el movimiento lateral ni la cantidad de datos robados.

Sin embargo, ShinyHunters compartió una captura de pantalla que muestra el sitio web de empleos del FBI en apply.fbijobs.gov desfigurado con el logotipo del Pokémon Umbreon del grupo y un mensaje afirmando que la información de los empleados y solicitantes del FBI había sido comprometida.

La desfiguración declaraba: "ESTE SITIO HA SIDO INCAUTADO POR SHINYHUNTERS. rooting your systems since '19 ;)".

Sitio web de empleos del FBI presuntamente desfigurado
Fuente: ShinyHunters

El mensaje afirmaba además que se había robado información sensible de identificación personal (PII) y relacionada con la salud (PHI) perteneciente a empleados y solicitantes del FBI.

"Todos los datos del FBI fueron comprometidos, incluyendo PII/PHI sensible de empleados actuales y antiguos del FBI y toda la información de los solicitantes", decía el mensaje en el sitio desfigurado.

"Tenemos mucho más de lo que afirmamos aquí. Gracias por su atención a este asunto".

ShinyHunters señaló que el FBI se dio cuenta rápidamente de la intrusión, desconectó inmediatamente los sistemas afectados y que el sitio de empleos del FBI ahora muestra un mensaje de mantenimiento.

El grupo también afirmó que el acceso a múltiples redes del FBI fue terminado simultáneamente después de que la agencia detectara la intrusión.

"Literalmente desenchufaron todo", dijo ShinyHunters.

Los actores de amenazas compartieron dos registros de muestra que el grupo afirma fueron robados durante el ataque, incluyendo datos presuntamente asociados con personal del FBI.

Un registro contenía presuntamente información asociada con un agente especial del FBI involucrado en una investigación previa de BreachForums, mientras que otro contenía presuntamente información asociada con el Director del FBI, Kash Patel.

No se está publicando la información personal contenida en esos registros y no se ha verificado independientemente su autenticidad o fuente.

404 Media informó primero sobre la presunta brecha tras recibir una muestra que contenía aproximadamente 5,000 supuestos registros de empleados del FBI.

La publicación dijo que verificó que parte de la información en la muestra era precisa, incluyendo números de teléfono correspondientes a personas con los mismos nombres y números asociados con personal del Departamento de Justicia de EE. UU.

Presunto zero-day de peoplesoft

ShinyHunters afirma que obtuvieron el acceso inicial a través de una nueva vulnerabilidad zero-day en Oracle PeopleSoft que permanece sin parchear.

"El producto de Oracle en el que explotamos el 0day es PeopleSoft. Encontramos otro ayer e inmediatamente lo explotamos en el FBI", dijo ShinyHunters.

El grupo también afirma que intentó borrar la evidencia de su actividad de los servidores comprometidos para dificultar la identificación del zero-day.

ShinyHunters también indicó que ahora está utilizando la misma presunta vulnerabilidad de PeopleSoft para atacar corporaciones y la Fortune 500, después de haber atacado al sector educativo.

ShinyHunters afirma que los datos robados del FBI provenían de sistemas accedidos tras el compromiso inicial de PeopleSoft.

Estos sistemas incluyen presuntamente el entorno AWS GovCloud del FBI, que se utilizaba para almacenar información de empleados y solicitantes.

Se ha contactado a Oracle y al equipo de inteligencia de amenazas Mandiant de Google Cloud para determinar si tienen conocimiento de una nueva vulnerabilidad de PeopleSoft o actividad de explotación relacionada.

Represalias por informe del fbi

ShinyHunters publicó posteriormente una extensa declaración en su sitio de filtración de datos afirmando que el ataque fue una represalia por un informe FLASH del FBI que detallaba a ShinyHunters publicado en mayo de 2026.

Declaración de ShinyHunters sobre el ataque al FBI
Fuente: BleepingComputer

El grupo disputa las afirmaciones de que los actores de ShinyHunters podrían exagerar el acceso a información sensible, acosar a las víctimas y sus familiares, realizar ataques de "swatting" y afirmar falsamente poseer material comprometedor.

Los actores de amenazas negaron esas acusaciones y también rechazaron las afirmaciones de que forman parte de "The Com", una comunidad de cibercrimen laxamente organizada frecuentemente vinculada a brechas de datos y robos de criptomonedas.

En la declaración, ShinyHunters dio al FBI una semana para corregir o eliminar el informe FLASH, afirmando que la demanda no tenía motivación financiera y no era una extorsión.

Cuando se les preguntó si el grupo liberaría los datos presuntamente robados del FBI si la agencia no realizaba cambios en el informe, ShinyHunters declinó responder.

"Sin comentarios", dijo el actor de amenazas.

Cuando se preguntó al representante principal de la banda de extorsión ShinyHunters si les preocupaba que esto llevara a una mayor presión del gobierno de EE. UU. para capturarlos, respondieron: "No me importa".

El presunto zero-day de PeopleSoft no sería la primera vez que ShinyHunters ha sido vinculado a la explotación de una vulnerabilidad de Oracle previamente desconocida.

Durante la campaña de robo de datos de Oracle E-Business Suite de Clop en 2025, ShinyHunters formó parte de un grupo que se hacía llamar "Scattered Lapsus$ Hunters" que filtró un exploit de prueba de concepto confirmado posteriormente por Oracle como coincidente con uno utilizado en los ataques.

ShinyHunters dijo posteriormente que el exploit les pertenecía originalmente y que la banda de ransomware Clop lo obtuvo sin autorización.

Esa disputa resurgió la semana pasada cuando ShinyHunters vulneró y desfiguró el sitio de filtración de datos de Clop, afirmando que robó datos del servidor y las claves privadas de su servicio onion de Tor.

El grupo posteriormente añadió a Clop a su propio sitio de filtraciones y amenazó con extorsionar a la operación de ransomware, diciendo que el ataque fue una represalia por amenazas presuntamente realizadas durante la campaña de Oracle E-Business Suite.

Se ha contactado al FBI, Oracle y al equipo de inteligencia de amenazas Mandiant de Google Cloud con respecto a la presunta brecha y el zero-day de PeopleSoft, y se actualizará esta historia si se recibe una respuesta.

Fuente:
BleepingComputer