Le groupe ShinyHunters frappe Oracle : plus de 100 organisations compromises, des universités en première ligne

Voici une analyse complète de la dernière campagne d'envergure du groupe ShinyHunters, basée sur les informations disponibles en date du début du mois de juin 2026.

Quel système a été piraté ?

Le groupe ShinyHunters a revendiqué le piratage de serveurs Oracle PeopleSoft — la suite logicielle de gestion des ressources humaines (ERP) et de capital humain détenue par Oracle . Lors d'échanges avec les médias TechCrunch et BleepingComputer, le collectif a indiqué avoir compromis environ 300 instances PeopleSoft appartenant à plus de 100 organisations en utilisant une combinaison de vulnérabilités anciennes et récentes (zero-day) .

Quelles sont les organisations touchées ?

• La majorité des victimes sont des universités et des établissements d'enseignement supérieur . Un cas confirmé est celui de l'Université de Nottingham au Royaume-Uni .
• Au-delà du secteur éducatif, la campagne a également ciblé des entités dans les secteurs de la technologie et des logiciels, des services financiers, de la santé, de l'énergie, de la logistique et de l'immobilier .
• Sur les 18 derniers mois, l'écosystème plus large des opérations ShinyHunters a touché d'autres victimes notoires, parmi lesquelles Instructure/Canvas (plateforme de gestion de l'apprentissage) , Charter Communications , Telus Digital , Anodot , ainsi que des marques grand public comme Zara, 7-Eleven, Carnival, Mytheresa, ADT, Udemy, Rockstar Games, Medtronic, Allianz Life et Ameriprise .

Quels types de données ont été dérobés ?

D'après les revendications du groupe, les données compromises incluent :

• Des informations personnelles identifiables telles que les noms, adresses e-mail, numéros de téléphone et adresses postales
• Des dossiers RH et financiers extraits des systèmes PeopleSoft
• Des dossiers d'étudiants et d'enseignants (issus de la brèche Canvas/Instructure) — le groupe évoque des centaines de millions d'enregistrements
• Des jetons d'authentification (tokens) utilisés comme relais pour enchaîner les attaques vers des environnements Salesforce et d'autres services cloud

L'objectif initial impliquant le FBI et le démenti sur les tentatives de « swatting »

Dans des échanges avec TechCrunch, un membre du groupe a révélé une intention des plus surprenantes : ShinyHunters voulait d'abord pirater un serveur PeopleSoft du FBI . L'objectif n'était pas lucratif mais stratégique : utiliser cet accès pour publier un communiqué officiel niant toute implication dans une série d'incidents de « swatting » (canulars téléphoniques visant à déclencher l'intervention des forces spéciales au domicile de victimes) que le FBI avait attribués, en partie, à des acteurs liés à ShinyHunters dans une récente alerte publique . Le groupe souhaitait se désolidariser publiquement de ces attaques. Cette tentative d'intrusion contre le FBI aurait échoué .

La réponse d'Oracle face à l'incident

À la date du 11 juin 2026, Oracle n'avait publié aucune déclaration publique officielle répondant aux revendications de ShinyHunters . Cependant, une communication plus discrète a eu lieu le 10 juin 2026 : l'éditeur a émis une Alerte de Sécurité pour la vulnérabilité CVE-2026-35273, une faille critique de niveau 9.8 (sur l'échelle CVSS) affectant Oracle PeopleSoft PeopleTools . Cette vulnérabilité, exploitable à distance sans authentification, peut conduire à une exécution de code à distance. Ce correctif correspond très précisément à la faille que les chercheurs en sécurité et BleepingComputer avaient identifiée comme le point d'entrée probable utilisé lors de la campagne de ShinyHunters .