ShinyHunters uderza w FBI i żąda raportu

ShinyHunters twierdzi, że włamał się do FBI

Grupa ShinyHunters po raz kolejny znalazła się w centrum uwagi, tym razem po deklaracji ataku na FBI. Według przekazywanych przez napastników informacji, punktem wejścia miała być zero-day w systemie Oracle PeopleSoft. Zamiast klasycznego żądania okupu pojawił się jednak inny warunek: usunięcie lub korekta jednego z raportów FBI.

Na tym etapie amerykańska agencja nie potwierdziła ani nie zaprzeczyła incydentowi, a sprawa pozostaje przedmiotem analizy.

Co rzekomo wykradziono

Z relacji napastników wynika, że po wykorzystaniu podatności mieli oni uzyskać dostęp do serwera powiązanego z domeną apply.fbijobs.gov, a następnie poruszać się dalej po infrastrukturze FBI. W ich opisie pojawia się także środowisko AWS GovCloud.

ShinyHunters twierdzi, że pobrał od 2 do 3 TB danych z trzech obszarów:

Criminal Justice (CJ)
Human Resources (HR)
Medlink

Na defacedowanym portalu rekrutacyjnym FBI miała pojawić się informacja, że serwis został „przejęty przez ShinyHunters”. Według tej samej narracji wyciek obejmował dane osobowe i zdrowotne pracowników, byłych pracowników oraz kandydatów do pracy, w tym nazwiska, adresy i numery telefonów agentów oraz ich małżonków.

Nie chodzi o pieniądze, tylko o raport

Nietypowy jest sam charakter żądania. ShinyHunters nie domaga się okupu wprost, lecz chce, aby FBI usunęło lub poprawiło raport FLASH opublikowany w drugim kwartale 2026 roku. Dokument ten miał odnosić się do wcześniejszych działań grupy i opisywać jej praktykę wyolbrzymiania dostępu do systemów, by zwiększyć presję na ofiary.

Napastnicy dali agencji tydzień na spełnienie żądania, grożąc publikacją danych w przypadku braku reakcji.

Oracle PeopleSoft ponownie na celowniku

Nie jest to pierwszy raz, gdy ShinyHunters interesuje się PeopleSoftem. W czerwcu 2026 roku Oracle ostrzegło przed luką CVE-2026-35273 o krytycznej podatności i CVSS 9,8, pozwalającą na zdalne wykonanie kodu bez uwierzytelnienia w komponencie Environment Management dla PeopleTools 8.61 i 8.62.

Wcześniej wskazywano, że grupa wykorzystywała tę podatność jako zero-day jeszcze przed publikacją poprawki, atakując endpointy PSEMHUB. Informowano wtedy o ponad 100 organizacjach objętych ostrzeżeniem, z czego większość działała w sektorze szkolnictwa wyższego.

Nie wiadomo jeszcze, czy obecny incydent na infrastrukturze FBI wykorzystuje całkiem nową lukę, czy też chodzi o obejście czerwcowej poprawki albo serwer, który nie został zaktualizowany.

Konflikt między grupami przestępczymi

Spór między ShinyHunters a Clop nie wziął się znikąd. Źródła wskazują, że napięcie między obiema grupami narastało od 2025 roku i wiązało się z rywalizacją o przypisywanie sobie odkrycia podatności w serwerach Oracle E-Business Suite. Jednym z punktów zapalnych była również wspominana zero-day CVE-2025-61882, którą obie grupy miały wykorzystywać w kampaniach kradzieży danych i szantażu.

W jednym z takich epizodów ShinyHunters twierdził nawet, że przejął infrastrukturę konkurencyjnej grupy ransomware Clop, w tym prywatne klucze i dane serwerowe używane do prowadzenia operacji. Na stronie wycieku Clop pojawił się wówczas komunikat o przejęciu serwisu przez ShinyHunters, a tło zmieniono na grafikę ASCII z motywem Pokémon.

Szerszy kontekst: aktywna i agresywna grupa

ShinyHunters należy do najbardziej aktywnych grup cyberprzestępczych 2026 roku. W ostatnich miesiącach łączono ją z kampaniami wymierzonymi w użytkowników popularnych usług SaaS, takich jak Salesforce Experience Cloud i Canvas Learning Management System. Grupa miała też brać na cel duże organizacje z sektora ochrony zdrowia, w tym amerykańskiego giganta McKesson.

Z kolei Clop działa od 2019 roku i ma na koncie szereg głośnych ataków ransomware. Wśród nich znalazł się m.in. incydent na University of Phoenix, który w grudniu 2025 roku miał objąć prawie 3,5 mln osób. Grupa była też odpowiedzialna za serię ataków z 2023 roku, wykorzystujących podatności w MOVEit Transfer i MOVEit Cloud.

Co to oznacza dla obrońców

Niezależnie od tego, czy deklaracja ShinyHunters okaże się w pełni prawdziwa, czy tylko częściowo wyolbrzymiona, historia pokazuje kilka ważnych rzeczy:

grupy cyberprzestępcze konkurują ze sobą równie mocno jak z ofiarami,
publiczne raporty i komunikaty bezpieczeństwa stają się elementem gry psychologicznej,
systemy ERP i portale rekrutacyjne pozostają atrakcyjnym celem, jeśli nie są szybko łatane,
samo posiadanie poprawki nie wystarczy, jeśli organizacja nie wdroży jej na czas.

W praktyce to kolejny dowód, że w cyberprzestrzeni liczą się nie tylko podatności, ale też reputacja, presja i wzajemne rozgrywki między grupami przestępczymi.