ShinyHunters colpisce ancora: violati i server Oracle PeopleSoft di oltre 100 organizzazioni

L'attacco, tuttavia, non si è limitato al mondo accademico. La campagna ha preso di mira anche entità operanti in settori come:

• Software e tecnologia
• Servizi finanziari
• Sanità
• Energia e logistica
• Immobiliare

Nel più ampio ecosistema di attacchi portati avanti da ShinyHunters negli ultimi 18 mesi, figurano altre vittime illustri, tra cui Instructure/Canvas (piattaforma di learning management system) , Charter Communications , Telus Digital , Anodot , e marchi noti al grande pubblico come Zara, 7-Eleven, Carnival, Mytheresa, ADT, Udemy, Rockstar Games, Medtronic, Allianz Life e Ameriprise .

La tipologia dei dati rubati

Stando a quanto dichiarato, il bottino include una quantità impressionante di dati sensibili:

• Informazioni di identificazione personale (PII), come nomi, indirizzi email, numeri di telefono e indirizzi fisici
• Dati delle risorse umane e registri finanziari prelevati dai sistemi PeopleSoft
• Registri di studenti ed educatori, per un totale di centinaia di milioni di record, rubati durante la violazione di Canvas/Instructure
• Token di autenticazione, utilizzati per innescare attacchi a catena verso ambienti Salesforce e altri servizi cloud

L'obiettivo originale: una mossa contro l'FBI

In una rivelazione che aggiunge un inquietante strato di complessità alla vicenda, un membro di ShinyHunters ha confessato a TechCrunch che il piano iniziale del gruppo era ancora più ambizioso e mirava direttamente alle forze dell'ordine. L'obiettivo era violare un server PeopleSoft dell'FBI .

L'intenzione non era rubare dati, ma utilizzare quell'accesso per pubblicare una dichiarazione ufficiale con cui il gruppo avrebbe negato ogni coinvolgimento in una serie di attacchi di swatting (false segnalazioni alla polizia per provocare un intervento armato) che l'FBI aveva segnalato in un recente allerta pubblico . ShinyHunters voleva quindi usare una potenziale breccia come cassa di risonanza per ripulire la propria immagine. Tuttavia, il tentativo di violare i sistemi dell'FBI è fallito .

La risposta di Oracle: nessuna dichiarazione, ma una patch critica

Fino al 10-11 giugno 2026, Oracle non aveva rilasciato alcuna dichiarazione pubblica per commentare le rivendicazioni di ShinyHunters . Il colosso del software ha però reagito prontamente sul fronte tecnico.

Il 10 giugno 2026, Oracle ha pubblicato un Security Alert Advisory per la vulnerabilità CVE-2026-35273, una falla critica con un punteggio CVSS di 9.8 (su una scala di 10) che colpisce Oracle PeopleSoft PeopleTools . La vulnerabilità è sfruttabile da remoto senza autenticazione e può portare all'esecuzione di codice in remoto, rappresentando un rischio estremo .

Questa patch ha corretto la specifica falla che ricercatori di sicurezza e BleepingComputer avevano identificato come il probabile vettore d'ingresso utilizzato nella campagna di ShinyHunters . Un intervento rapido e silenzioso per mettere in sicurezza i propri clienti, mentre le indagini e le speculazioni sul colpo milionario continuano.