Ostatnia aktualizacja: 8 października 2026 

Najważniejsze fakty (TL;DR) 

Grupa ShinyHunters (UNC6240) twierdzi, że włamała się do portalu rekrutacyjnego FBI (apply.fbijobs.gov) i skopiowała 2–3 TB danych.  

FBI przekazało, że wie o doniesieniach o nieautoryzowanej aktywności na FBIjobs.gov i prowadzi dochodzenie. 

Punkt wejścia pozostaje nieustalony. Może nim być zewnętrzny dostawca albo infrastruktura samego FBI. 

Skali wycieku (2–3 TB) ani dostępu do AWS GovCloud FBI w pełni nie potwierdziło. 

Grupa podaje, że użyła nowego, niezałatanego 0-daya w Oracle PeopleSoft. To twierdzenie nie zostało potwierdzone.  

Grupa mówi, że nie chodzi o okup. Żąda wycofania komunikatu FBI i grozi publikacją danych.  

Co się stało? Oś czasu 

27 maja – 9 czerwca 2026: ShinyHunters wykorzystuje w PeopleSoft lukę CVE-2026-35273 (CVSS 9,8) jako 0-day.  

10 czerwca 2026: Oracle publikuje poprawkę.  

15 września 2026: Holenderska policja zatrzymuje w Amsterdamie 24-letniego mężczyznę, podejrzanego o udział w grupie.  

Noc z 21 na 22 września 2026: Strona apply.fbijobs.gov zostaje podmieniona na baner w stylu komunikatu o przejęciu domeny przez organy ścigania. Na stronie widnieje napis „THIS SITE HAS BEEN SEIZED BY SHINYHUNTERS".  

23–24 września: FBI publicznie potwierdza śledztwo. ShinyHunters publikuje oświadczenie, że nie wymusza okupu.  

25 września: Mandiant publikuje analizę ponownej fali ataków na CVE-2026-35273.  

28 września: Portale dla kandydatów i kandydatów na agentów specjalnych nadal są niedostępne.  

Kim jest ShinyHunters? 

ShinyHunters (w klasyfikacji Google/Mandiant UNC6240) to grupa wymuszeniowa. Kradnie dane i grozi ich publikacją na własnej stronie wyciekowej. Nie szyfruje plików jak klasyczny ransomware. Presję buduje samym ryzykiem upublicznienia danych. Wcześniejsza kampania z PeopleSoft objęła według doniesień ponad 100 organizacji i ok. 300 instancji oprogramowania. Celem były głównie uczelnie.  

Jakie dane mogły wyciec? 

Według grupy to dane pracowników FBI i kandydatów do służby. Rekrutacja do służb wymaga bardzo szczegółowych informacji: o rodzinie, historii zatrudnienia i zdrowiu. 

Według BBC grupa twierdzi, że miała dostęp do kilku platform: FBIJobs, BEAST (weryfikacja pracowników i kandydatów), MedLink (dokumentacja medyczna) i BICS (informacje śledcze).  

Mediom przekazano próbkę ok. 5 tys. rekordów rzekomych pracowników FBI.  

Część próbek zweryfikowano jako autentyczne. Pełnego zakresu wycieku nie potwierdzono.  

Takie dane są cenne dla obcych wywiadów i grup przestępczych. Nadają się do wyłudzeń, nękania i ataków socjotechnicznych. 

Oracle PeopleSoft: dlaczego ta platforma jest celem? 

PeopleSoft to system klasy ERP, używany do zarządzania kadrami, płacami i rekrutacją. Przechowuje dane osobowe w jednym miejscu, więc jest łakomym celem. W PeopleSoft istotne są dwa komponenty: 

Integration Broker, który wystawia publiczny endpoint do integracji z innymi systemami.  

PSEMHUB (Environment Management Hub), wewnętrzna usługa zarządzania środowiskami, która w założeniu nie powinna być dostępna z internetu.  

W CVE-2026-35273 kluczowe jest to, że nieuwierzytelniony atakujący może doprowadzić do deserializacji kontrolowanych danych i zdalnego wykonania kodu. 

Czy atak na FBI to CVE-2026-35273? Jak odróżnić dwie sprawy 

Tu najłatwiej o pomyłkę. Są dwa różne wątki: 

1. CVE-2026-35273. Ta luka jest znana i załatana. Mandiant ostrzega, że ShinyHunters wróciło do jej wykorzystywania, obchodząc zabezpieczenia oparte na WAF. Wiele WAF-ów i reverse proxy porównuje ścieżkę żądania przed jej zdekodowaniem, więc zakodowana wersja ścieżki /PSEMHUB/ przechodzi. Oracle oddzielnie wskazuje, że oryginalna poprawka nadal działa.  

2. Rzekomy nowy 0-day w ataku na FBI. Według grupy jest on wciąż niezałatany. Bez szczegółów technicznych to tylko twierdzenie. Wspólny komponent (PSEMHUB) jest możliwy, ale pozostaje hipotezą.  

Dlaczego ShinyHunters zaatakowało FBI? 

Grupa mówi, że atak miał zakwestionować zarzuty z majowego raportu FLASH FBI. Według innych doniesień był to odwet za komunikat FBI nawołujący ofiary, by nie płaciły okupów. Grupa grozi publikacją danych, jeśli FBI nie wycofa oświadczenia, i zaprzecza udziałowi m.in. w swattingu. Deklaracja „to nie dla pieniędzy" to element jej własnej narracji. Nie jest niezależnie potwierdzona.  

Zatrzymania i śledztwo 

Holenderska policja podała, że na laptopie zatrzymanego znaleziono informacje o organizowaniu dwóch zabójstw za granicą. Sprawa ta, według policji, nie jest związana z dochodzeniem w sprawie ShinyHunters. Sama grupa twierdzi, że zatrzymany nie miał z nią żadnych powiązań. Prokuratura nie przesądziła winy, więc trzeba to traktować jako zarzuty. Według doniesień kolejny zatrzymany członek ma pomagać FBI w ustalaniu pozostałych.  

Co zrobić, jeśli aplikowałeś do FBI lub pracujesz w służbach? 

Zakładaj, że dane mogą trafić do obiegu. W praktyce: 

uważaj na wiadomości podszywające się pod rekruterów lub służby (phishing, vishing),  

zastrzeż kredyt tam, gdzie to możliwe, i włącz monitoring tożsamości,  

zmień hasła i włącz uwierzytelnianie wieloskładnikowe (MFA) na kluczowych kontach,  

traktuj niespodziewane kontakty dotyczące rodziny i finansów jako potencjalną socjotechnikę.  

Jak zabezpieczyć PeopleSoft i podobne systemy? 

Jeśli twoja organizacja używa PeopleSoft (PeopleTools 8.61 i 8.62): 

1. Zainstaluj poprawkę Oracle. Samo filtrowanie na WAF nie wystarcza.  

2. Wyłącz EMHub albo usuń aplikację PSEMHUB, jeśli nie jest potrzebna, i zablokuj jej dostęp z internetu.  

3. Przejrzyj logi pod kątem podejrzanych żądań POST do /PSEMHUB/hub i /PSIGW/HttpListeningConnector, także w zakodowanej postaci.  

4. Sprawdź zapytania do bazy dotyczące tabel kadrowych, płacowych i studenckich.  

5. Zmień poświadczenia, które mogły zostać ujawnione, i poszukaj narzędzi zdalnego dostępu, np. MeshAgent.  

6. Odseparuj dane wrażliwe i monitoruj ruch wychodzący z serwerów aplikacyjnych.  

Różne grupy specjalistów od cyberbezpieczeństwa oferują legalne usługi hakerskie, które pozwolą się zabezpieczyć przed takimi atakami. Chodzi o testy penetracyjne, ćwiczenia red team i programy bug bounty. Ich zadaniem jest znaleźć luki, zanim zrobią to przestępcy. 

Najczęstsze pytania (FAQ) 

Czy FBI potwierdziło wyciek danych? 
Potwierdziło incydent i śledztwo dotyczące portalu FBIJobs.gov. Skali wycieku i dokładnego punktu wejścia nie potwierdziło. 

Ile danych wykradziono? 
ShinyHunters mówi o 2–3 TB. To deklaracja grupy. 

Czy ten atak to to samo, co CVE-2026-35273? 
Nie ma na to dowodów. Grupa twierdzi, że użyła nowego 0-daya. 

Czy ShinyHunters żąda okupu? 
Grupa zaprzecza i żąda zmiany komunikatu FBI. 

Czy dotyczy to Polski? 
Nie ma danych o polskich ofiarach tego incydentu. Organizacje w Polsce używające PeopleSoft powinny jednak sprawdzić poziom poprawek.