100+ संगठन हैक, Oracle चुप: ShinyHunters का ताज़ा कहर, FBI को भी निशाना बनाने की कोशिश

ShinyHunters का नया हमला: हाई-प्रोफाइल साइलेंस और एक नाकाम FBI प्लान

साइबर अपराध की दुनिया के कुख्यात नाम ShinyHunters ने एक बार फिर बड़े स्तर के डेटा चोरी के हमले का दावा किया है। इस बार निशाने पर है Oracle का पीपलसॉफ्ट (PeopleSoft) सर्वर — वही एंटरप्राइज सॉफ्टवेयर जिस पर दुनिया भर की बड़ी-बड़ी कंपनियाँ और संस्थान अपने HR, पेरोल और वित्तीय डेटा के लिए निर्भर हैं ।

क्या-क्या हैक किया गया?

ShinyHunters ने दावा किया है कि उसने Oracle PeopleSoft के करीब 300 इंस्टेंस (सर्वर) में सेंध लगाई, जो 100 से अधिक संगठनों के थे । इस काम के लिए हैकरों ने पुरानी और नई (zero-day) दोनों तरह की कमजोरियों का इस्तेमाल किया ।

कौन-कौन से संगठन प्रभावित हुए?

हैकरों के इस अभियान ने शिक्षा जगत को सबसे ज्यादा प्रभावित किया है। पीड़ितों में ज्यादातर यूनिवर्सिटी और उच्च शिक्षा संस्थान हैं । फिलहाल जिन एक पुष्ट पीड़ित का नाम सामने आया है, वह है नॉटिंघम यूनिवर्सिटी ।

लेकिन यह हमला सिर्फ शिक्षा तक सीमित नहीं है। इसके दायरे में सॉफ्टवेयर/टेक्नोलॉजी, बैंकिंग और वित्तीय सेवाएँ, हेल्थकेयर, ऊर्जा, लॉजिस्टिक्स और रियल एस्टेट जैसे कई अहम सेक्टर भी शामिल हैं ।

अगर पिछले डेढ़ साल के ShinyHunters के रिकॉर्ड को देखें, तो इस ग्रुप ने Instructure (Canvas LMS), चार्टर कम्युनिकेशंस, टेलस डिजिटल, और Zara, 7-Eleven, कार्निवाल, ADT, Udemy, रॉकस्टार गेम्स, मेडट्रॉनिक और ऑलियांज लाइफ जैसे दिग्गज ब्रांडों को भी अपना शिकार बनाया है ।

किस तरह का डेटा चुराया गया?

चुराए गए डेटा की प्रकृति बेहद संवेदनशील है। इस सेंधमारी में कथित तौर पर यह सब शामिल है:

• व्यक्तिगत पहचान की जानकारी (PII): जैसे नाम, ईमेल पते, फोन नंबर और घर के पते
• HR और वित्तीय रिकॉर्ड: पीपलसॉफ्ट सिस्टम से सीधे चुराए गए रिकॉर्ड
• छात्रों और शिक्षकों का डेटा: Canvas/Instructure की सेंधमारी से करोड़ों रिकॉर्ड चुराने का दावा
• ऑथेंटिकेशन टोकन: इनकी मदद से हैकर्स एक सिस्टम से दूसरे सिस्टम, जैसे Salesforce, में आगे और हमले कर सकते हैं

हैकर्स का मूल लक्ष्य: FBI को निशाना और स्वाटिंग से इनकार

इस पूरी घटना का एक दिलचस्प और खौफनाक पहलू है। ShinyHunters के एक सदस्य ने खुद टेकक्रंच को बताया कि ग्रुप का मूल इरादा कोई और ही था। वे FBI का एक पीपलसॉफ्ट सर्वर हैक करना चाहते थे ।

मकसद यह था कि एक बार FBI के सिस्टम में घुसने के बाद, वे एक सार्वजनिक बयान जारी करते जिसमें वे हाल ही में हुई स्वाटिंग (Swatting) की घटनाओं में अपनी संलिप्तता से साफ इनकार करते । FBI ने हाल ही में एक अलर्ट जारी करके इन स्वाटिंग हमलों के लिए ShinyHunters से जुड़े एक्टर्स को जिम्मेदार ठहराया था, और हैकर्स इसी आरोप का सार्वजनिक रूप से खंडन करना चाहते थे । हालाँकि, FBI को हैक करने की यह कोशिश नाकाम रही ।

Oracle की प्रतिक्रिया: चुप्पी और एक खामोश पैच

10-11 जून, 2026 तक, Oracle ने ShinyHunters के इन दावों पर कोई सार्वजनिक बयान जारी नहीं किया । कंपनी ने इस पूरे मामले पर चुप्पी साध रखी है।

लेकिन दिलचस्प बात यह है कि ठीक उसी दिन, 10 जून, 2026 को, Oracle ने एक अति-महत्वपूर्ण सिक्योरिटी अलर्ट एडवाइजरी (CVE-2026-35273) जारी की । यह एक क्रिटिकल कमजोरी (CVSS स्कोर 9.8) थी जो Oracle PeopleSoft PeopleTools को प्रभावित कर रही थी और जिसका बिना किसी पासवर्ड के दूर से फायदा उठाकर हैकर पूरे सिस्टम पर कब्जा कर सकते थे ।

सुरक्षा विशेषज्ञों और BleepingComputer की रिपोर्ट के अनुसार, यही वह खामी है जिसका इस्तेमाल ShinyHunters ने अपने हमले के लिए मुख्य प्रवेश द्वार के रूप में किया था । Oracle की यह चुपचाप जारी की गई पैच ही शायद इस पूरे घटनाक्रम पर कंपनी की अब तक की एकमात्र अप्रत्यक्ष प्रतिक्रिया है।