FBI因ShinyHunters黑客攻击事件而撤换埃森哲承包商

原创

CyberOk
CyberOk

CyberOk

2026年10月7日 07:55
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

美国联邦调查局（FBI）于2026年10月5日撤换一名埃森哲（Accenture）承包商。FBI网络部门助理主任布雷特·莱瑟曼（Brett Leatherman）称，一名身份不明的承包商未能对第三方管理的平台实施“明确发布”的安全补丁，导致ShinyHunters得以入侵并窃取数千名FBI员工的敏感信息。两名消息人士告诉路透社，涉事平台为甲骨文（Oracle）PeopleSoft，管理方为埃森哲。FBI未公开确认平台、第三方或具体CVE。事件仍在调查中，已有ShinyHunters成员被捕，一名关键嫌疑人在约旦被拘留并配合调查。

一、最新进展：FBI撤换承包商，官方定性为第三方平台安全失效

据路透社2026年10月6日报道，FBI于10月5日（周一）撤换了一名埃森哲承包商。两名知情人士称，原因是该承包商未能对由其负责、由第三方管理的平台实施安全补丁。FBI网络部门助理主任布雷特·莱瑟曼在声明中表示：“截至目前，我们的审查确定，该事件是由于第三方组织管理的平台安全失效所致——在承包商未能实施明确发布的安全补丁以保障该平台安全之后。因此，FBI已移除承包商，并采取一切必要措施，既降低进一步风险，也保护我们的员工。”

FBI并未公开涉事平台或第三方组织的名称。但两名消息人士告诉路透社，被入侵系统是甲骨文PeopleSoft人力资源平台，管理该平台的第三方组织是埃森哲。路透社称，暂时无法确认具体承包商身份或其当前雇佣状态。GBHackers特别提醒，承包商被“移除”不应被解读为确认埃森哲已终止其雇佣关系。The Next Web也表示，其尚未独立核实路透社报道。

埃森哲在给路透社的声明中表示，公司“为支持FBI的使命感到自豪，并将继续支持”，但没有回应关于承包商或未打补丁的提问。甲骨文未立即回复置评请求。The Hacker News称，其已联系FBI和甲骨文寻求评论。

二、事件发生和发展：从5月公告到10月撤换

综合多份材料，事件脉络如下：

• 2026年5月：FBI发布公告，警告ShinyHunters使用骚扰策略针对受害者及其家人。ShinyHunters后来声称，其对FBI的攻击是报复行为，而非勒索赎金，并要求FBI更正该公告。
• 2026年6月：谷歌对与ShinyHunters相关的黑客勒索活动发出警告，称该活动针对使用PeopleSoft软件的组织。路透社称，同一天，甲骨文发布安全警报，识别PeopleSoft弱点并提供安全修复。两家公司均敦促运营PeopleSoft的组织“立即应用所有关键补丁更新、关键安全补丁更新和安全警报”。
• 2026年6月10日：据GBHackers报道，甲骨文安全公告描述CVE-2026-35273，一个影响PeopleSoft Enterprise PeopleTools 8.61和8.62版本的严重漏洞，位于Updates Environment Management组件，CVSS 3.1评分为9.8。攻击者可远程通过HTTP利用，无需认证或用户交互，成功利用可能导致远程代码执行，影响机密性、完整性和可用性。甲骨文敦促客户立即实施缓解措施并应用安全更新。
• 2026年5月至6月：The Next Web援引Help Net Security和Mandiant报道称，ShinyHunters曾利用另一个PeopleSoft漏洞攻击以学术机构为主的目标，直到甲骨文发布修复。
• 2026年9月：ShinyHunters声称利用PeopleSoft漏洞入侵FBI的招聘门户/工作站点，并称持有几乎所有FBI特工和申请人的数据。该组织还声称渗透了FBI的刑事司法和HR系统，但这些说法未获FBI公开确认。
• 2026年10月5日：FBI撤换一名埃森哲承包商。
• 2026年10月6日：多家媒体报道FBI官方声明及路透社调查细节。

三、技术关键：CVE-2026-35273、未打补丁与WAF绕过

FBI官方将事件归因于承包商“未能实施明确发布的安全补丁”。但技术细节显示，攻击路径可能更为复杂。

The Hacker News援引谷歌旗下Mandiant的报告称，ShinyHunters被评估为利用了一种绕过CVE-2026-35273的方式，通过URL编码技巧绕过旨在阻止易受攻击的Environment Management Hub（PSEMHUB）端点的Web应用防火墙（WAF）规则。The Next Web也援引The Hacker News和Mandiant称，攻击者使用URL编码方法击败WAF并触及易受攻击的PeopleSoft端点，从而绕过了针对CVE-2026-35273的补丁保护。

不过，FBI尚未公开确认CVE-2026-35273就是此次入侵的入口。路透社未能确定负责保护FBI工作站点的人员是否或何时实施了甲骨文建议的防护措施。ShinyHunters则将入侵归因于PeopleSoft漏洞。Yahoo报道称，ShinyHunters声称其入口是Oracle PeopleSoft的一个零日漏洞，并声称还渗透了FBI的刑事司法和HR系统；这些说法均未获FBI公开确认。The Next Web指出，FBI和路透社均未说明此次入侵是否使用了同一漏洞。

此外，路透社中文报道强调，对易受攻击的软件进行快速修补被认为是防御网络和设备免受黑客攻击的关键环节，但这一过程可能既繁琐又困难，尤其是服务于大量用户的企业软件。

四、泄露数据与影响：反情报信息、特工地址与医疗记录

据路透社报道，泄露信息包括：被点名员工反情报工作的详细描述、人力情报人员的街道地址，以及FBI工作人员的医疗和精神病记录。Yahoo报道称，被盗数据涉及数万名现任和前任FBI特工、申请人及其家属。The Hacker News、GBHackers和Times of India则称“数千名”FBI员工记录被暴露。ShinyHunters声称其持有几乎所有FBI特工和申请人的数据，但该说法未获独立证实。

GBHackers指出，这些披露超出了典型的员工数据暴露； compromised information 将可识别人员与敏感情报角色和深度隐私的健康信息联系起来。调查人员仍在确定损害的全部范围。

前FBI官员将此次泄露描述为对FBI运营安全的“重大打击”。前FBI官员辛西娅·凯泽（Cynthia Kaiser）警告，此次泄露对特工及其家人构成直接物理威胁。FBI表示仍在评估全部后果。

五、各方反应与主流观点

• FBI官方：将事件定性为第三方管理平台的安全失效，强调承包商未实施明确补丁，并已采取缓解措施保护员工。
• 埃森哲：表示“自豪支持FBI使命，并将继续支持”，但未回答承包商或补丁问题。
• 甲骨文：未立即置评；此前已发布安全公告并敦促客户立即修补。
• 谷歌/Mandiant：警告ShinyHunters针对PeopleSoft客户，并评估攻击者使用URL编码绕过WAF。
• 前FBI官员：认为事件严重打击运营安全，并可能危及人员人身安全。
• ShinyHunters：声称攻击是报复，要求FBI更正5月公告，而非支付赎金；声称入侵招聘门户，并称还渗透刑事司法和HR系统。
• 路透社等媒体：强调快速修补对防御黑客至关重要，但企业软件补丁过程可能繁琐困难；同时指出承包商身份和雇佣状态未确认。
• GBHackers：提醒“移除承包商”不等于埃森哲终止其雇佣。
• The Next Web：指出路透社报道尚未被独立核实，FBI和路透社均未确认具体漏洞是否就是此次入口。

六、后续发展与可预见影响

调查方面，The Hacker News称，ShinyHunters已有两名成员被捕，FBI警告更多逮捕可能，并正与合作伙伴获取和执行更多线索。路透社报道，一名关键的ShinyHunters嫌疑人在约旦被拘留，并已开始配合调查。GBHackers称，这一合作可能帮助当局理解事件，并可能限制对受影响人员的影响。Yahoo报道称，FBI表示更多逮捕可能到来。

可预见的影响包括：

1. FBI内部安全与第三方风险管理：事件核心争议在于，一个已发布明确补丁的平台为何仍被攻破。FBI可能进一步审查第三方承包商的安全合规、补丁管理和供应链监督。
2. 情报人员人身安全：反情报职责、人力情报人员地址和医疗记录泄露，可能迫使FBI采取额外保护措施，并影响人员部署与信任。
3. 埃森哲与甲骨文声誉：埃森哲作为平台管理者面临政府合同审查压力；甲骨文PeopleSoft客户可能被敦促立即验证补丁与WAF配置。
4. 更广泛的网络安全实践：事件显示，仅发布补丁并不足够，WAF绕过、第三方管理和补丁验证同样关键。谷歌与甲骨文此前的警告也表明，PeopleSoft生态已成为攻击目标。
5. 执法与威慑：多名嫌疑人被捕、一人配合调查，可能有助于厘清攻击链，但FBI认为更多逮捕可能到来。

七、未确认事项与风险提示

• FBI未公开确认涉事平台和第三方组织，PeopleSoft与埃森哲来自消息人士。
• 具体承包商身份和当前雇佣状态未确认，不能将“撤换”等同于埃森哲解雇该人员。
• FBI未公开确认CVE-2026-35273就是入侵入口。
• 路透社未确定补丁是否或何时被实施。
• ShinyHunters关于刑事司法和HR系统被渗透的说法未获FBI确认。
• The Next Web称未独立核实路透社报道。

结语

这起事件的核心，不只是一次黑客入侵，而是“已发布补丁未落实”所暴露的第三方平台管理漏洞。FBI撤换埃森哲承包商，表明其试图将责任指向平台管理环节，并采取缓解措施保护员工。然而，随着敏感数据泄露范围扩大、嫌疑人合作与更多逮捕可能出现，事件对FBI运营安全、承包商监管、PeopleSoft客户及更广泛网络安全实践的影响，仍将持续发酵。本文仅基于上述参考材料整理，未确认事项已作标注。

参考文献

[1] 路透社中文报道：《独家 消息人士称，埃森哲承包商因数据泄露事件被FBI撤职》，贾娜·温特、拉斐尔·萨特，2026年10月6日。https://www.reuters.com/technology/accenture-contractor-removed-fbi-following-damaging-data-breach-sources-say-2026-10-06/

[2] The Hacker News: “FBI Removes Accenture Contractor After Patch Failure Led to ShinyHunters Breach”, Ravie Lakshmanan, Oct 06, 2026. https://thehackernews.com/2026/10/fbi-removes-accenture-contractor-after.html

[3] GBHackers: “Accenture Contractor Removed After FBI Data Breach Exposes Thousands of Employees”, Divya, October 6, 2026. https://gbhackers.com/accenture-contractor-removed-after-fbi-data-breach/

[4] Yahoo: “FBI removes Accenture contractor after ShinyHunters data breach”, Cris Tolomia, Updated Tue, October 6, 2026 at 1:11 PM UTC. https://www.yahoo.com/news/us/articles/fbi-removes-accenture-contractor-shinyhunters-131102165.html

[5] The Next Web: “Accenture contractor removed from FBI after unpatched system led to breach”, October 6, 2026 - 8:23 am. https://thenextweb.com/news/fbi-removes-accenture-contractor-data-breach

[6] Times of India: “Accenture contractor removed from FBI after data leak that exposed personal details of thousands of bureau employees, comes weeks after Google's 'warning'”, TOI Tech Desk, Oct 06, 2026, 16:40 IST. https://timesofindia.indiatimes.com/technology/tech-news/accenture-contractor-removed-from-fbi-after-data-leak-that-exposed-personal-details-of-thousands-of-bureau-employees-comes-weeks-after-googles-warning/articleshow/134738458.cms