文章总结： ShinyHunters宣称利用OraclePeopleSoft零日漏洞攻破FBI招聘网站并窃取数据，篡改页面并威胁公开数据以迫使FBI撤回声明。事件验证了部分数据真实性，但2-3TB总量及GovCloud横向移动未获确认。文章强调HR系统安全重要性，建议企业将人事系统纳入渗透测试范围、加强补丁管理和网络分段，并关注后续发展。 综合评分： 85 文章分类： 漏洞分析,威胁情报,数据泄露,红队,WEB安全

ShinyHunters宣称攻破FBI

安世加

2026年9月23日 18:00 上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

新闻

News Today

9月21日周一晚间，ShinyHunters篡改了FBI自己的招聘网站apply.fbijobs.gov，页面被替换成”本站已被ShinyHunters接管”，随后FBI把网站下线显示”维护中”。团伙声称：他们在Oracle PeopleSoft里发现了一个预认证RCE零日漏洞，用它拿下了FBI的服务器，再横向进入FBI托管在AWS GovCloud里的系统，拖走了2到3TB数据——覆盖FBI现任员工、离职员工和所有特工申请人的姓名、住址、电话、配偶信息、出生日期，号称能查到CJ（刑事司法）、HR、Medlink三个内部服务。

The Register、404 Media、CyberInsider都收到了5000条记录的样本。有媒体用OSINT工具抽查了样本里的电话号码，部分确实和署名对得上，还有一部分能关联到司法部（FBI的上级单位）人员。也就是说，样本至少部分是真的——但2到3TB的总量、GovCloud横向移动这些说法，FBI既未确认也未否认，Oracle和AWS也没回应。目前只能确定两件事：篡改真实发生了，泄露的数据至少有一部分来自真实人员。

已验证：apply.fbijobs.gov被篡改、样本含真实FBI/司法部相关人员电话待验证：2-3TB数据总量、AWS GovCloud横向移动、PeopleSoft零日的具体细节

最有意思的是动机。ShinyHunters明确告诉媒体”这不是财务驱动的”——他们不要赎金，要FBI撤回或更正今年5月15日发布的通告。那份通告说这伙人骚扰受害者及其家属、搞swatting、经常谎称掌握不存在的敏感材料。ShinyHunters说这些都是污蔑，这次行动就是逼FBI改口，限期一周，否则公开全部数据。勒索团伙第一次把”数据”当成了改写官方叙事的筹码，而不是换钱的商品。

技术路径值得防守方细看。FBIJobs的招聘系统跑的是PeopleSoft——一款在企业和高校里部署极广的老牌HR/ERP套件，管理着人事、薪酬、招聘全流程。今年6月ShinyHunters就曾用PeopleSoft漏洞扫过100多家机构，当时对FBI门户的尝试失败了，Oracle随后发过紧急安全警告，Mandiant也把那波利用活动关联到了ShinyHunters。这次如果说法成立，等于同一伙人、同一类入口，绕了一圈回来了。团伙还放话，同一个零日已经用来打了教育行业，接下来会打更广的目标。

这里有一个所有企业都该对号入座的问题：你的HR系统、招聘门户、报销系统，进过渗透测试的范围吗？这类系统在安全评审里常年被归为”内部系统”，没人认真测，但它们存的数据——员工住址、家属信息、身份证号、薪酬——恰恰是威胁情报价值最高的那类。FBI的教训是，一个”后台”招聘系统不仅能泄露全员人事档案，还可能成为跳进GovCloud的跳板。公网应用和内部基础设施之间的网络分段、 HR系统自身的补丁管理（Oracle已经就PeopleSoft发过警告，打没打？）、以及员工数据的分级保护，这三件事值得今天就排进计划。

对企业安全团队还有一个不太舒服的提醒：如果连FBI都可能被人事系统打穿，那么”我们规模小、没人盯”的假设更加不成立了。ShinyHunters这类团伙的攻击动机已经不局限于钱——你的数据可能被用来胁迫你的客户、你的监管方，甚至你的对手。当勒索数据的用途从”换赎金”扩展到”达成其他目的”时，数据泄露的代价模型就变了：以前是钱的问题，现在可能是业务连续性、声誉甚至人身安全的问题。

后续一周是关键观察窗口。FBI会不会改通告、Oracle会不会确认零日并发补丁、ShinyHunters到底放不放出2TB数据、以及GovCloud的说法最终是真是假——每一条都值得盯。对企业来说，无论结局如何，”把HR系统当关键资产管”这个结论已经成立了。

信息来源：The Register

本公众号发布的文章均转载自互联网或经作者投稿授权的原创，文末已注明出处，其内容和图片版权归原网站或作者本人所有，并不代表安世加的观点，若有无意侵权或转载不当之处请联系我们处理！

安世加为出海企业提供SOC 2、ISO 体系、PCI DSS认证咨询服务（点击图片可详细查看）

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安世加 《ShinyHunters宣称攻破FBI》