הקבוצה השתמשה במה שהיא מכנה "גאדג'ט צ'יין" (שרשרת ניצול מורכבת) — שילוב של פגיעויות מוכרות וישנות עם פרצות יום-אפס חדשות במערכת PeopleSoft . לדברי התקיפים, ההתקפה לא עובדת על כל השרתים; ההצלחה תלויה באופן שבו כל ארגון הגדיר את שרתי ה-PeopleSoft שלו
.
מודל הפעולה של "שלם-או-הדלפה" פשוט: ארגונים שמסרבים לשלם את הכופר, רואים את המידע הגנוב מפורסם באתר ההדלפות של ShinyHunters .
המתקפה כוונה בעיקר למוסדות אקדמיים. ShinyHunters התמקדו בכבדות במוסדות להשכלה גבוהה, כהמשך לדפוס שהונהג בקמפיינים קודמים ב-2026 נגד Canvas/Instructure ו-Salesforce Experience Cloud .
אוניברסיטת נוטינגהאם אישרה את הפריצה. התוקפים חדרו בסוף חודש מאי 2026 למערכת "Campus Solutions" לניהול רישומי הסטודנטים, המבוססת על Oracle PeopleSoft . דגימת המידע שהודלפה כללה תיקי סטודנטים, מועמדים, סיוע כספי, הגירה, בריאות ומנהלה
. ShinyHunters טענו לגניבת מעל 40 ג'יגה בייט של מידע רגיש, לרבות רישומי חיוב, פרטי כרטיסי אשראי, נתוני מימון סטודנטים וייצוא נתונים מפורטלי הקמפוסים של האוניברסיטה בבריטניה, מלזיה וסין
.
המתקפה על Oracle PeopleSoft מייצגת שינוי מובהק באסטרטגיית התקיפה של ShinyHunters. רוב פעילותם במהלך 2025 ותחילת 2026 התבססה על שימוש לרעה בזהויות ובגישה — שיחות "וישינג" (התחזות טלפונית), הנדסה חברתית, השתלטות על חשבונות Okta SSO ושימוש לרעה בטוקני OAuth . צוות Mandiant ו-Google Threat Intelligence תיעדו כיצד ShinyHunters התחזו לאנשי תמיכת IT, דחקו בעובדים לגשת לאתרי פישינג בעיצוב תאגידי וגנבו פרטי כניסה וקודים חד-פעמיים
.
דו”ח איומים של The Crosswalk מגדיר זאת בחריפות: ShinyHunters "כמעט אף פעם לא מנצלות פגיעויות תוכנה", ומתמקדות באימות מול מוקדי תמיכה, עקיפת MFA של עובדים וניצול טוקני OAuth של אפליקציות SaaS צד-שלישי . המתקפה על PeopleSoft שונה באופן מהותי, תוך שימוש בניצול תוכנה אמיתי — לרבות פרצות אפס — דבר שלא נראה בפעילותם מעולם
.
נכון ל-10 ביוני 2026, Oracle לא פרסמה הודעה רשמית או אזהרת אבטחה ייעודית לקמפיין זה. טרם דווח על טלאים ספציפיים לפעילות . רשויות בריטיות — לרבות משרד נציב המידע (ICO) ורשויות אכיפת החוק — טרם הגיבו באופן פומבי. אוניברסיטת נוטינגהאם ניהלה את האירוע באופן פנימי, עדכנה סטודנטים ישירות והשביתה זמנית מערכות לחקירה
.
קהילת אבטחת המידע טרם פרסמה סממני זיהוי ייחודיים (IoCs) דוגמת כתובות IP או Hashים של קבצים עבור קמפיין PeopleSoft. Huntress פרסמה פרופיל רחב של שחקן האיום, הכולל סממני רשת הקשורים לתשתיות ShinyHunters, אך אלה קשורים לקמפיינים ממוקדי SaaS, לא לניצול PeopleSoft .
תדרוך Crosswalk מציין שדפוסי הפעולה הרגילים של ShinyHunters, שמתבססים על ניצול זהויות, ממעטים לייצר IoCs ייחודיים לפגיעות תוכנה, מה שמקשה על ציד איומים והגנה ממוקדת .
קמפיין PeopleSoft משתלב בשרשרת אירועים חסרת תקדים ב-2026:
פריצת הענק לזירת הלמידה Instructure/Canvas — גניבת הנתונים הגדולה בהיסטוריה ממגזר החינוך — ShinyHunters טענה ל-275 מיליון רישומים מ-8,000–9,000 מוסדות .
דו"ח חקירת פריצות הנתונים השנתי של Verizon (DBIR) ל-2026 חשף מהפך מבני: בפעם הראשונה מזה 19 שנים, ניצול פגיעויות תוכנה הפך לווקטור התקיפה המוביל (31%), כשהוא עוקף גניבת נתוני כניסה . ההסבה של ShinyHunters משימוש לרעה בזהויות לשרשראות ניצול אמיתיות, מתיישרת באופן מובהק עם מגמה זו ומרמזת שהמתקפות ההמוניות על פלטפורמות ארגוניות מרכזיות יימשכו.
עבור האוניברסיטאות, המסקנה ברורה וחריפה: אותה תוכנה מאוחדת שהפכה פלטפורמות כמו Canvas ו-PeopleSoft לחיוניות ללמידה מרחוק ולניהול, הפכה אותן עכשיו לנקודת כשל קטסטרופלית ברגע שתוקפים מוצאים חרך לא מתוקנן .
Comments
0 comments