ShinyHunters piratea servidores de Oracle PeopleSoft en una campaña masiva: qué datos robaron, a quiénes afectó y cuál era su objetivo con el FBI

¿Qué fue supuestamente vulnerado?

ShinyHunters afirmó haber irrumpido en servidores de Oracle PeopleSoft, el conocido software de planificación de recursos empresariales (ERP) y gestión de capital humano de Oracle . El grupo aseguró tanto a TechCrunch como a BleepingComputer que comprometió unas 300 instancias de PeopleSoft en más de 100 organizaciones, explotando una combinación de vulnerabilidades antiguas y nuevas .

¿Qué organizaciones se vieron afectadas?

• La mayoría de las víctimas son universidades e instituciones de educación superior . Una víctima confirmada es la Universidad de Nottingham .
• Más allá del ámbito educativo, la campaña alcanzó también a empresas de software/tecnología, servicios financieros, salud, energía, logística y sector inmobiliario .
• En el ecosistema más amplio de ShinyHunters durante los últimos 18 meses, otras víctimas confirmadas incluyen a Instructure/Canvas (sistema de gestión de aprendizaje) , Charter Communications , Telus Digital , Anodot , y marcas como Zara, 7-Eleven, Carnival, Mytheresa, ADT, Udemy, Rockstar Games, Medtronic, Allianz Life y Ameriprise .

Tipos de datos que se afirma haber robado

Los datos supuestamente sustraídos incluyen:

• Información personal identificable (PII): nombres, direcciones de correo electrónico, números de teléfono y direcciones físicas .
• Registros financieros y de RR. HH. procedentes de los sistemas PeopleSoft .
• Datos de estudiantes y educadores (de la brecha en Canvas/Instructure); el grupo afirmó tener cientos de millones de registros .
• Tokens de autenticación, utilizados para encadenar ataques hacia Salesforce y otros entornos en la nube .

El objetivo original del grupo con el FBI y la negación sobre el 'swatting'

Según un miembro de ShinyHunters que habló con TechCrunch, la intención inicial del grupo era vulnerar un servidor PeopleSoft del FBI . Planeaban usar ese acceso para publicar un comunicado desvinculándose de una serie de incidentes de 'swatting' (falsas denuncias para provocar intervenciones policiales armadas) que el FBI había señalado en una alerta pública reciente . El grupo quería negar públicamente su participación en esos ataques, que las autoridades habían atribuido en parte a actores vinculados a ShinyHunters. Ese intento de intrusión en el FBI supuestamente fracasó .

La respuesta de Oracle

A fecha del 10-11 de junio de 2026, Oracle no había emitido ninguna declaración pública abordando las afirmaciones de ShinyHunters . Sin embargo, el 10 de junio de 2026, Oracle publicó una Alerta de Seguridad para la vulnerabilidad CVE-2026-35273, un fallo crítico (puntuación CVSS de 9.8) que afecta a Oracle PeopleSoft PeopleTools. Esta vulnerabilidad es explotable de forma remota sin autenticación y podría derivar en la ejecución remota de código . El parche solucionaba el fallo específico que los investigadores de seguridad y BleepingComputer habían identificado como el probable vector de entrada utilizado en la campaña de ShinyHunters .