Coletivo de extorsão cibernética afirma ter comprometido serviços internos do FBI, incluindo Criminal Justice, HR e Medlink, e reivindica a exploração de uma falha zero-day no Oracle PeopleSoft para execução remota de código
| Componente | FBIjobs.gov e sistemas associados; serviços citados pelos atacantes: Criminal Justice (CJ), HR e Medlink; plataforma Oracle PeopleSoft apontada como vetor |
| Vetor | Alegada exploração de uma falha zero-day pré-autenticação no Oracle PeopleSoft para RCE, sem detalhes técnicos divulgados; grupo já usou a falha CVE-2026-35273 em junho de 2026 |
| Impacto | Reivindicação de roubo de dados sensíveis de agentes federais e candidatos a vagas; desfiguração do site de empregos do FBI; FBI confirma que investiga atividade não autorizada em FBIjobs.gov |
| Prioridade | Monitorar telemetria de instâncias PeopleSoft expostas, priorizar correções do fornecedor e endurecer caminhos de identidade, help desk e integrações SaaS |
| IoCs | Página desfigurada com aviso de 'seizure' pelo grupo; site do FBIjobs.gov exibindo mensagem de manutenção programada após o incidente |
O grupo de extorsão cibernética conhecido como ShinyHunters divulgou nesta terça-feira, em seu site de vazamentos na dark web, a alegação de ter comprometido o Federal Bureau of Investigation (FBI) dos Estados Unidos. Na mensagem, o coletivo afirma possuir dados altamente sensíveis de praticamente todos os agentes federais em atividade e de pessoas que chegaram a candidatar-se a vagas na agência, cobrindo tanto agentes especiais quanto demais funções internas. Os atacantes listaram como serviços comprometidos os sistemas Criminal Justice (CJ), HR e Medlink, além de outros não especificados.
A alegação ganha relevância por três elementos concretos. Primeiro, o próprio FBI reconheceu, em comunicado, que está ciente das reivindicações sobre atividade não autorizada afetando o domínio FBIjobs[.]gov e que investiga o caso. Segundo, o site de recrutamento da agência foi desfigurado com um banner indicando que o domínio teria sido tomado pelos criminosos e, no momento da verificação, exibia apenas uma mensagem de manutenção programada. Terceiro, um porta-voz do grupo afirmou à imprensa que o acesso inicial foi obtido pela exploração de uma nova falha zero-day no Oracle PeopleSoft, resultando em execução remota de código. Até o momento, não há detalhes técnicos públicos que caracterizem essa suposta falha pré-autenticação, e a reivindicação precisa ser tratada como não confirmada até a publicação de evidências ou de correção pelo fornecedor.
Segundo o relato atribuído ao grupo, a cadeia de ataque teria começado pela identificação e exploração de uma vulnerabilidade zero-day no Oracle PeopleSoft, plataforma usada amplamente para gestão de recursos humanos e processos corporativos. A falha, descrita como pré-autenticação e com potencial de execução remota de código, teria permitido o comprometimento da instância que suporta o portal de empregos do FBI. Após a intrusão, os atacantes desfiguraram a página com um banner de tomada do site e, em paralelo, reivindicam a extração de dados de sistemas internos citados na mensagem de reivindicação.
Não existem, por enquanto, detalhes públicos sobre o mecanismo exato da suposta falha, suas precondições ou versões afetadas do PeopleSoft. O contexto relevante é que o mesmo grupo já demonstrou capacidade de transformar falhas dessa plataforma em acesso corporativo: em junho de 2026, os atacantes exploraram a CVE-2026-35273, falha semelhante no PeopleSoft, para invadir redes empresariais e conduzir extorsão. Essa precedent eleva a plausibilidade técnica da reivindicação atual, embora não a confirme. Analistas também observaram um indício operacional limitado: o carimbo de data de 23 de setembro na publicação do grupo, enquanto a notícia emergiu em 22 de setembro nos Estados Unidos, sugeriria, se refletir o fuso horário real dos operadores, atividade em região da Ásia — um detalhe que investigadores devem cruzar com evidências técnicas, sem tratá-lo como atribuição definitiva.
A superfície diretamente citada na reivindicação envolve o portal FBIjobs.gov e os serviços internos Criminal Justice (CJ), HR e Medlink. Se confirmada a extração, os dados em risco incluiriam informações de identificação e cadastrais de agentes federais ativos e ex-servidores, além de dados de candidatos a processos seletivos — um conjunto particularmente sensível pela possibilidade de uso em engenharia social direcionada contra membros do aparato de justiça criminal. O alcance real, porém, permanece condicionado: não há amostras, listas de arquivos ou volumes publicados que permitam dimensionar o comprometimento.
De forma indireta, o caso coloca em alerta toda organização que mantém instâncias Oracle PeopleSoft expostas à internet. Uma falha pré-autenticação com capacidade de RCE nessa plataforma, se existir, seria reutilizável contra outros alvos, e o histórico recente do grupo indica disposição para explorá-la em campanhas de extorsão contra empresas. Equipes que operam PeopleSoft devem considerar a exposição como elevada até que haja esclarecimento sobre a existência e a correção da falha.
- FBIjobs.gov — confirmado pela própria agência como alvo de atividade não autorizada em investigação
- Serviços citados pelos atacantes: Criminal Justice (CJ), HR e Medlink
- Instâncias Oracle PeopleSoft expostas — superfície potencial se a falha zero-day reivindicada existir
- Dados reivindicados: informações de agentes ativos, ex-servidores e candidatos a vagas
Para organizações com PeopleSoft em produção, a prioridade de hunting é detectar padrões compatíveis com exploração pré-autenticação contra os endpoints da aplicação: requisições HTTP anômalas ou craftadas direcionadas a componentes de integração e servlets da plataforma, sequências incomuns de parâmetros antes de qualquer sessão autenticada e respostas do servidor que indiquem execução de código ou erro tratado de forma não padrão. Como não há assinatura pública da suposta falha, o enfoque deve estar em anomalias de tráfego direcionado aos servidores de aplicação e em processos filhos incomuns no host que hospeda o middleware.
No plano de identidade, o repertório recente do grupo descrito por analistas enfatiza abuso de caminhos de confiança: engenharia social contra centrais de suporte (help desk), aplicativos OAuth maliciosos e tokens de integração SaaS roubados, em vez de invasão puramente perimetral. Isso orienta a busca por consentimentos de aplicação incomuns no provedor de identidade, concessões OAuth recém-aprovadas para apps desconhecidos, uso de tokens de integração fora de janelas e origens esperadas e redefinições de MFA originadas de interações com help desk sem verificação robusta. Monitorar também alterações de conteúdo estático e páginas públicas de portais corporativos ajuda a detectar desfigurações em estágio inicial.
- Requisições não autenticadas anômalas contra endpoints do PeopleSoft e componentes de integração
- Processos filhos incomuns no servidor de aplicação que hospeda o middleware
- Concessões e consentimentos OAuth atípicos no provedor de identidade
- Uso de tokens de integração SaaS fora de janelas, origens ou sistemas esperados
- Alterações não planejadas de conteúdo em portais públicos (indício de desfiguração)
A resposta imediata para ambientes PeopleSoft é reduzir a exposição: restringir o acesso externo aos servidores de aplicação por VPN ou access control de rede, aplicar todas as correções cumulativas do fornecedor assim que disponíveis — incluindo a que trata da CVE-2026-35273, caso ainda não tenha sido instalada — e validar que nenhuma interface administrativa ou endpoint legado permaneça acessível sem autenticação. Como a suposta falha nova não tem correção pública conhecida, o controle compensatório de rede e o monitoramento reforçado são as medidas disponíveis no momento.
No plano de identidade, o caso reforça a necessidade de proteger os caminhos de confiança que o grupo historicamente abusa: endurecer procedimentos de help desk com verificação forte antes de qualquer alteração de MFA ou redefinição de credencial, revisar e remover consentimentos OAuth órfãos ou desnecessários, rotacionar tokens de integração SaaS com escopo excessivo e implementar revisão contínua de privilégios em contas de serviço. Para o contexto específico do FBI, a investigação da agência deve estabelecer a extensão real do comprometimento; para o restante do mercado, a lição é tratar reivindicações de grupos com histórico comprovado de exploração de PeopleSoft como gatilho de resposta imediata, e não como ruído.
- Restringir exposição externa das instâncias PeopleSoft (VPN, access control de rede)
- Aplicar correções disponíveis do fornecedor, incluindo a da
CVE-2026-35273 - Endurecer verificação de help desk antes de alterações de MFA e credenciais
- Revisar consentimentos OAuth e rotacionar tokens de integração SaaS com escopo amplo
- Monitorar alterações de conteúdo em portais públicos e alertar sobre desfigurações
0 Comentários