ShinyHunters legt Oracle PeopleSoft-servers plat bij ruim 100 organisaties

Wat is er precies gehackt?

ShinyHunters, een van de meest beruchte cybercriminele bendes van dit moment, heeft aangegeven te hebben ingebroken op Oracle PeopleSoft-servers. Dit is een veelgebruikt softwarepakket voor bedrijfsbeheer, zoals human resources en financiën . De groep vertelde aan TechCrunch en BleepingComputer dat ze zo'n 300 PeopleSoft-omgevingen hebben aangevallen bij meer dan 100 organisaties. Ze maakten daarbij slim gebruik van zowel oude als gloednieuwe lekken in de software .

Welke organisaties zijn getroffen?

De meeste slachtoffers bevinden zich in de onderwijssector. Het gaat voornamelijk om universiteiten en hogescholen . Eén van de bevestigde gedupeerden is de Universiteit van Nottingham in het Verenigd Koninkrijk .

Maar de aanval bleef niet beperkt tot het onderwijs. Ook bedrijven in de software- en technologiesector, financiële dienstverlening, gezondheidszorg, energie, logistiek en vastgoed zijn geraakt .

Deze hack past in een breder patroon. De afgelopen anderhalf jaar is ShinyHunters in verband gebracht met inbraken bij onder meer Instructure/Canvas (een digitaal leerplatform), het Amerikaanse telecombedrijf Charter Communications, Telus Digital en grote consumentenmerken als Zara, 7-Eleven, ADT, Rockstar Games en Medtronic .

Wat voor data is er buitgemaakt?

Volgens de eigen claims van ShinyHunters hebben ze een breed scala aan gevoelige informatie gestolen:

• Persoonlijke gegevens: namen, e-mailadressen, telefoonnummers en fysieke adressen .
• HR- en financiële dossiers uit de PeopleSoft-systemen .
• Gegevens van studenten en docenten (uit de eerdere aanval op Canvas). De groep beweert dat het om honderden miljoenen records gaat .
• Authenticatietokens, waarmee de hackers konden doorstoten naar andere cloudomgevingen, zoals Salesforce .

Het bizarre oorspronkelijke plan: een FBI-server hacken

Een lid van ShinyHunters onthulde aan TechCrunch dat het oorspronkelijke doelwit niet zomaar een willekeurige organisatie was. De groep wilde inbreken op een PeopleSoft-server van de FBI . Het bizarre plan was om via die server een verklaring te publiceren waarin ze elke betrokkenheid bij een reeks gevaarlijke 'swatting'-meldingen ontkenden. Bij swatting stuurt men met valse meldingen zwaarbewapende politieteams naar het adres van een nietsvermoedend slachtoffer. De FBI had recentelijk een publiekswaarschuwing afgegeven waarin de praktijken werden toegeschreven aan figuren uit het ShinyHunters-netwerk. Die aantijging wilde de groep via de hack dus publiekelijk van zich afschudden. De poging om bij de FBI binnen te komen, is overigens mislukt .

Hoe reageert Oracle?

Opvallend genoeg heeft Oracle tot op heden geen openbare verklaring afgegeven over de claims van ShinyHunters . Toch gebeurde er iets opvallends. Op 10 juni 2026, dezelfde dag dat de hack breed in het nieuws kwam, publiceerde Oracle een kritieke beveiligingswaarschuwing voor CVE-2026-35273 .

Dit lek in de PeopleSoft-software had een ernstscore van 9.8 op een schaal van 10. Het maakte het mogelijk voor aanvallers om op afstand, zonder inloggegevens, code uit te voeren op de server. Beveiligingsonderzoekers en journalisten van BleepingComputer identificeerden dit kwetsbare punt als de meest waarschijnlijke route die ShinyHunters heeft gebruikt om binnen te komen .