El FBI despidió a un contratista de Accenture el 5 de octubre de 2026 debido a una brecha de datos que expuso información personal confidencial de miles de empleados. El incidente fue causado por la falta de un parche de seguridad en la plataforma de recursos humanos PeopleSoft de Oracle, servicio gestionado por Accenture.

El FBI retiró a un contratista de Accenture el 5 de octubre de 2026, después de que la omisión de un parche de seguridad provocara una brecha de datos que expuso detalles personales confidenciales de miles de empleados. Según Reuters, dos fuentes identificaron la plataforma de recursos humanos PeopleSoft de Oracle como el sistema afectado y a Accenture como el proveedor de servicios.

El jefe de ciberseguridad del FBI, Brett Leatherman, afirmó que la revisión de la oficina determinó que un contratista no instaló un parche emitido para asegurar una plataforma gestionada por un tercero. Señaló que el FBI había retirado al contratista y tomado medidas para reducir riesgos adicionales y proteger a su personal.

El FBI no mencionó públicamente a PeopleSoft ni a Accenture en su comunicado. Reuters no pudo establecer la identidad del contratista ni su estado laboral actual. Accenture afirmó que seguiría apoyando al FBI, pero no respondió a las preguntas sobre el contratista ni sobre el presunto fallo en la aplicación del parche.

El FBI retira a un contratista de Accenture

El incidente ocurre tras la afirmación de ShinyHunters de que vulneraron el sitio web de empleo del FBI a través de un fallo en PeopleSoft en septiembre. Informes anteriores describieron la exposición de nombres de personal en unidades sensibles, así como registros médicos y psiquiátricos. Dichas revelaciones generan preocupaciones que van más allá del robo de identidad, ya que revelan información sobre empleados que desempeñan funciones delicadas.

Sin embargo, Reuters mencionó previamente que no podía confirmar la ruta de entrada a PeopleSoft alegada por el grupo. La destitución del contratista confirma un fallo de parcheo identificado por el FBI, pero no cada detalle técnico ofrecido por los hackers sobre cómo obtuvieron el acceso.

Investigaciones independientes aportan un contexto importante. Cyber Security News cubrió anteriormente la vulnerabilidad CVE-2026-35273, un fallo crítico de PeopleSoft que permite a los atacantes ejecutar código sin iniciar sesión. Ese informe identificó el componente Environment Management Hub como el objetivo. El comunicado disponible del FBI no identifica un CVE ni confirma que se haya explotado esa vulnerabilidad específica.

En septiembre, Mandiant de Google informó sobre ataques renovados a PeopleSoft contra organizaciones que utilizaban reglas de firewall de aplicaciones web pero no habían instalado la actualización de Oracle. Los atacantes se adaptaron a esas defensas, demostrando por qué los filtros temporales no pueden sustituir a un parche que solucione el fallo subyacente.

Para ti, si eres administrador de PeopleSoft, la lección práctica es aplicar las correcciones del proveedor con prontitud, verificar la instalación y buscar accesos sospechosos. También es fundamental definir claramente las responsabilidades de parcheo cuando contratistas externos gestionan sistemas confidenciales de empleados.