ShinyHunters pirate Oracle PeopleSoft : la plus grande fuite de données universitaires de 2026

Pour cela, le groupe a utilisé une « chaîne de gadgets » (gadget chain) : une combinaison d'anciennes vulnérabilités connues et de failles zero-day propres à PeopleSoft . D'après leurs échanges avec BleepingComputer, l'attaque ne fonctionne pas de manière uniforme ; son succès dépend de la configuration de chaque déploiement PeopleSoft .

Le modèle de ShinyHunters repose sur l'extorsion avec paiement sous menace de fuite. Si les victimes refusent de payer, les données volées sont publiées sur leur site de fuite .

Le secteur universitaire, cible privilégiée

Les universités ont été les plus touchées. ShinyHunters s'est concentré sur les établissements d'enseignement supérieur, poursuivant une logique déjà observée lors de ses précédentes campagnes de 2026 contre Canvas/Instructure et Salesforce Experience Cloud .

L'Université de Nottingham a confirmé avoir été victime de la cyberattaque. Les pirates ont infiltré le système de gestion des dossiers étudiants Campus Solutions, qui fonctionne sous Oracle PeopleSoft, à la fin du mois de mai 2026 . Un échantillon des données exfiltrées, publié par ShinyHunters, contenait des informations sur les étudiants, les candidats, l'aide financière, l'immigration, la santé et l'administration . Le gang affirme avoir dérobé plus de 40 Go de données sensibles, incluant des relevés de facturation et de paiement, des détails de cartes bancaires, des données sur le financement des étudiants et des exportations de portails couvrant les campus de Nottingham au Royaume-Uni, en Malaisie et en Chine .

Une stratégie en mutation : du vishing à l'exploitation de zero-day

La campagne PeopleSoft marque un revirement tactique significatif pour ShinyHunters. Pendant la majeure partie de l'année 2025 et au début de 2026, le groupe s'était presque exclusivement appuyé sur l'usurpation d'identité et l'abus d'accès : hameçonnage vocal (vishing), ingénierie sociale, prise de contrôle de sessions Okta et utilisation frauduleuse de jetons OAuth . Les rapports de Mandiant et du Google Threat Intelligence Group ont documenté comment ShinyHunters usurpait l'identité du service d'assistance informatique, dirigeait les employés vers des sites d'hameçonnage reproduisant l'apparence de leur entreprise, et dérobait les identifiants uniques et les codes de double authentification .

Une note du groupe de renseignement The Crosswalk le résume sans détour : ShinyHunters « n'exploite presque jamais les vulnérabilités logicielles », mais cible plutôt la vérification auprès du support informatique, les dispositifs de double authentification des employés et les jetons OAuth d'applications SaaS tierces . Les attaques contre PeopleSoft s'écartent totalement de ce schéma, avec l'utilisation d'exploits logiciels, y compris des failles zero-day, une première dans leur mode opératoire .

Oracle et les autorités britanniques : une réaction publique limitée

Au 10 juin 2026, Oracle n'avait publié aucune déclaration ou avis de sécurité concernant cette campagne PeopleSoft. Aucun correctif lié à cette activité n'a été annoncé ni confirmé .

Les autorités britanniques, notamment l'Information Commissioner's Office (ICO), le régulateur pour la protection des données, et les forces de l'ordre, n'ont fait aucun commentaire public spécifique sur cet incident. L'Université de Nottingham a géré sa réponse en interne, informant directement les étudiants et mettant temporairement ses systèmes hors ligne pour enquête .

Les indicateurs de compromission : le flou persiste

La communauté de la cybersécurité n'a pas encore largement diffusé d'indicateurs de compromission (IoC) spécifiques à PeopleSoft, comme des adresses IP ou des signatures de fichiers malveillants liés à cette campagne. Huntress a publié un profil de ShinyHunters avec des indicateurs réseau, mais ceux-ci sont liés à l'infrastructure générale du gang pour ses campagnes SaaS, et non à l'exploitation de PeopleSoft .

La note de The Crosswalk souligne que les techniques habituelles de ShinyHunters — l'abus d'identité — produisent rarement des IoC spécifiques à une vulnérabilité logicielle, ce qui rend la traque défensive de cette campagne plus ardue .

L'escalade de ShinyHunters en 2026 : une extorsion de masse

La campagne PeopleSoft s'inscrit dans une escalade brutale tout au long de l'année :

• Début 2026 : La campagne AuraInspector exploite des instances Salesforce Experience Cloud mal configurées. ShinyHunters revendique près de 400 organisations touchées .
• Février 2026 : La fuite de données chez Wynn Resorts expose plus de 800 000 dossiers d'employés, avec un accès initial également lié à une vulnérabilité Oracle PeopleSoft .
• Avril–mai 2026 : La fuite de Canvas/Instructure, la plus grande fuite de données jamais vue dans le secteur de l'éducation, pour laquelle ShinyHunters revendique 275 millions d'enregistrements volés, touchant environ 8000 à 9000 institutions .
• Mai–juin 2026 : La fuite de 4,9 millions de dossiers clients chez Charter Communications .
• Juin 2026 : La campagne Oracle PeopleSoft ajoute plus de 100 organisations et 300 instances piratées à son tableau de chasse .

Le rapport 2026 de Verizon sur les enquêtes de fuites de données confirme un changement structurel : pour la première fois en 19 ans, l'exploitation de vulnérabilités a dépassé l'usage d'identifiants volés comme principal vecteur d'attaque . Le virage de ShinyHunters vers les chaînes d'exploit — plutôt que l'abus d'identité — s'aligne sur cette tendance plus large et signale que les campagnes massives et parallèles contre les plateformes logicielles largement déployées vont probablement se poursuivre.

Pour les universités, la leçon est sévère. La même chaîne d'approvisionnement logicielle consolidée qui a rendu des plateformes comme Canvas et PeopleSoft indispensables à l'enseignement et à l'administration à distance en a également fait des points de défaillances uniques et catastrophiques lorsqu'un attaquant trouve une faille non corrigée .