Invasão do FBI pelo ShinyHunters começou num sistema PeopleSoft sem atualização, e terceirizado foi afastado

O FBI, a polícia federal dos Estados Unidos, concluiu que a invasão do seu portal de vagas e recursos humanos, reivindicada pelo grupo de extorsão ShinyHunters em setembro de 2026, aconteceu numa plataforma administrada por terceiros, depois que um contratado deixou de aplicar uma atualização de segurança publicada justamente para protegê-la, e nas semanas seguintes as investigações levaram à detenção de um suspeito na Jordânia e à prisão de um executivo canadense na Pensilvânia, segundo o BleepingComputer.

A reivindicação e o caminho alegado

Em 22 de setembro de 2026, o ShinyHunters disse ao BleepingComputer que tinha usado na noite de segunda-feira uma falha desconhecida do Oracle PeopleSoft, sistema de gestão de pessoal, que permite executar código à distância, para entrar nos sistemas do FBI e depois se mover lateralmente até a infraestrutura do FBI na nuvem AWS GovCloud, onde ficavam dados de funcionários e candidatos.

O grupo afirmou ter levado entre 2TB e 3TB de dados, com informações de funcionários atuais e antigos, de candidatos a vagas, registros médicos e psiquiátricos e registros de serviços internos, e mostrou ao site uma captura de tela do portal apply.fbijobs.gov desfigurado com o logotipo do grupo e o aviso de que os dados tinham sido comprometidos.

Segundo o próprio grupo, o FBI percebeu a intrusão rapidamente, tirou os sistemas afetados do ar e cortou ao mesmo tempo o acesso a várias redes, e o ShinyHunters disse também ter tentado apagar dos servidores os rastros da sua atividade para dificultar a identificação da falha usada.

Na época, o FBI confirmou apenas que investigava as alegações de atividade não autorizada no FBIjobs.gov, e o BleepingComputer registrou que não tinha conseguido verificar de forma independente a falha, o movimento lateral nem o volume de dados.

A confirmação pelas amostras

As amostras de dados enviadas pelo grupo ao BleepingComputer e a outros veículos confirmaram depois que a invasão expôs informações de funcionários como endereços residenciais, números do Social Security, designações de trabalho sensíveis e dados de familiares, e o site 404 Media verificou que parte de uma amostra de cerca de 5.000 supostos registros de funcionários era verdadeira, inclusive telefones que correspondiam a pessoas do Departamento de Justiça com os mesmos nomes.

O The New York Times informou que um memorando interno do FBI partia do princípio de que todos os funcionários tinham sido atingidos, e a Reuters noticiou que os dados expostos incluíam prontuários médicos e psiquiátricos, endereços de agentes de inteligência humana e descrições detalhadas das funções de contrainteligência de funcionários identificados pelo nome, segundo o site Hackread.

A causa apontada pelo FBI

Brett Leatherman, diretor-assistente da Divisão Cibernética do FBI, disse à Reuters que a análise feita até então mostrava que o incidente resultou de uma falha de segurança de uma plataforma administrada por uma organização terceirizada, depois que um contratado deixou de implementar uma atualização de segurança publicada explicitamente para proteger a plataforma, e que o FBI afastou esse contratado e tomou medidas para limitar novos riscos e proteger os funcionários, segundo reportagem do Hackread de 6 de outubro de 2026.

O FBI não identificou o contratado, a plataforma nem a empresa que a administrava, mas duas fontes disseram à Reuters que o software era o Oracle PeopleSoft e que o prestador de serviço era a Accenture, que respondeu ter orgulho de apoiar a missão do FBI e não comentou o contratado nem a atualização que não foi aplicada.

A falha conhecida e o desvio do firewall

A empresa de resposta a incidentes Mandiant, do Google, já tinha documentado a exploração pelo ShinyHunters da falha CVE-2026-35273, que permite executar código à distância sem autenticação no componente Environment Management do PeopleSoft, usada como falha de dia zero entre 27 de maio e 9 de junho de 2026, sobretudo contra universidades, e corrigida pela Oracle em junho, embora a Mandiant não tenha ligado publicamente suas observações à invasão do FBI.

Em relatório noticiado pelo BleepingComputer em 26 de setembro de 2026, a Mandiant e o Threat Intelligence Group do Google relataram que o grupo passou a escapar das regras de firewall de aplicação web (WAF) que bloqueavam o endereço vulnerável /PSEMHUB/, trocando a letra P pelo código %50, de modo que o firewall, que compara o caminho literal antes de decodificá-lo, deixava passar o pedido, enquanto o servidor Oracle WebLogic decodificava a letra e o entregava ao componente vulnerável.

Com esse desvio, o grupo instalou web shells em dezenas de sistemas PeopleSoft pelo mundo, inclusive em servidores cujos operadores tinham criado regras no firewall sem instalar a atualização da Oracle, e por isso a Mandiant recomenda aplicar a correção em vez de confiar no firewall e procurar nos registros de acesso do WebLogic pedidos a /PSEMHUB/ e a variações codificadas como /%50SEMHUB/.

O ShinyHunters confirmou ao BleepingComputer que usou esse desvio contra o FBI Jobs, mas continua a afirmar que também explorou uma falha nova e desconhecida no mesmo componente PSEMHUB.

Detenções e prisões

Segundo a Reuters, autoridades da Jordânia detiveram no fim de setembro de 2026 Saif al-Din Khader, suspeito conhecido na internet como “Rey”, que, de acordo com uma fonte, passou a mostrar aos investigadores seus aparelhos eletrônicos e comunicações digitais para ajudar a localizar outros integrantes do grupo, detenção que o FBI não confirmou publicamente.

Em 9 de outubro de 2026, o diretor do FBI, Kash Patel, anunciou na rede X a prisão de mais um suspeito de ser coautor do ataque, e o The New York Times informou que se tratava de um cidadão canadense preso na Pensilvânia e considerado um dos principais envolvidos na invasão.

No dia seguinte, o Politico e o KrebsOnSecurity identificaram o preso como Edward Dubrovsky, de 54 anos, executivo de empresas que ajudam vítimas de ransomware a negociar pagamentos, detido quando participava de uma conferência de segurança na Pensilvânia e transferido para o Distrito Leste do Texas, onde o processo sob sigilo lista acusações de conspiração e extorsão, embora o FBI não tenha confirmado publicamente a ligação dele com o caso.

Segundo o FBI, o ShinyHunters e grupos associados invadiram mais de 140 organizações e receberam mais de US$ 70 milhões em pagamentos de extorsão no último ano, e o principal representante do grupo, que falava com jornalistas pelo Telegram, parou de responder, enquanto um novo site de vazamentos do ShinyHunters entrou no ar, sinal de que parte da operação continua ativa.