ShinyHunters hacker Oracle PeopleSoft: Over 100 universiteter rammet i omfattende datatyveri-kampanje

Metoden de brukte kalles en "gadget-kjede" på fagspråket. Det vil si at de koblet sammen flere allerede kjente sårbarheter med helt nye, såkalte nulldagssårbarheter, for å trenge gjennom sikkerheten . Ifølge ShinyHunters selv er angrepet ikke universelt effektivt – suksessen avhenger av nøyaktig hvordan hver enkelt organisasjon har konfigurert sin PeopleSoft-installasjon .

Når ofrene nekter å betale, blir de stjålne dataene publisert på ShinyHunters' egen "lekasje-side", en velkjent taktikk for å presse frem løsepenger .

Utdanningssektoren i skuddlinjen: Universiteter hardest rammet

Universiteter har båret den tyngste børa i denne kampanjen. ShinyHunters har hatt et spesielt fokus på høyere utdanning, noe som følger et mønster fra tidligere angrep i 2026 mot læringsplattformer som Canvas/Instructure og Salesforce Experience Cloud .

University of Nottingham har bekreftet at de er rammet. Hackerne tok seg inn i universitetets system for studentregistre, kalt Campus Solutions – som drives av nettopp Oracle PeopleSoft . En prøve av de stjålne dataene, publisert av ShinyHunters selv, inkluderer detaljerte opplysninger om studenter, søkere, økonomisk støtte, immigrasjon, helse og administrasjon .

Gjengen hevder å ha stjålet over 40 GB med sensitiv informasjon. Dette inkluderer blant annet faktura- og betalingsdetaljer, kredittkortinformasjon, studiedata og eksportfiler fra universitetsportaler tilhørende studiestedene i Storbritannia, Malaysia og Kina .

Fra "vishing" til nulldagssårbarheter: Et taktikkskifte

PeopleSoft-kampanjen er et markant brudd med ShinyHunters' tidligere operasjonsmønster. Gjennom 2025 og store deler av 2026 stolte gruppen nesten utelukkende på sosial manipulasjon og identitetstyveri for å bryte seg inn, en metode kjent som "vishing" (voice phishing). De ringte ansatte, utga seg for å være IT-support, og lurte dem til å oppgi brukernavn, passord og flerfaktorautentisering (MFA)-koder .

En trusselrapport fra The Crosswalk slo tidligere i år fast at ShinyHunters "nesten aldri utnytter programvaresårbarheter", men i stedet fokuserer på menneskelige svakheter .

Det nye angrepet mot Oracle PeopleSoft bryter fullstendig med dette bildet. Ved å utvikle og bruke en ekte "gadget-kjede" med nulldagssårbarheter, viser ShinyHunters en teknisk kapasitet man tidligere ikke hadde sett fra dem . Dette gir grunn til bekymring for at gruppen nå opererer på et farligere og mer avansert nivå.

Oracle og britiske myndigheter: Foreløpig tause

Per 10. juni 2026 har hverken Oracle eller britiske myndigheter kommet med noen offisiell uttalelse om saken.

Oracle har ikke sendt ut noen sikkerhetsmelding eller sluppet noen programvareoppdateringer knyttet til dette spesifikke angrepet . Det er uvisst om selskapet fortsatt etterforsker omfanget, men tausheten er urovekkende for de mange universiteter og bedrifter som er avhengige av PeopleSoft.

Det britiske datatilsynet (ICO) og politiet har heller ikke kommentert saken offentlig. University of Nottingham har håndtert krisen internt, informert studentene direkte og midlertidig tatt de berørte systemene offline for etterforskning .

Få spor å jakte på: Mangel på indikatorer

For IT-sikkerhetsteam er situasjonen ekstra krevende. Det har så langt ikke blitt publisert spesifikke indikatorer på kompromittering (IoCs) – som mistenkelige IP-adresser eller fil-hasher – som er unike for denne PeopleSoft-kampanjen. Huntress har riktignok publisert en bredere trusselaktørprofil med noen nettverksindikatorer knyttet til ShinyHunters, men disse er relatert til gruppens tidligere, mer SaaS-fokuserte angrep .

The Crosswalks briefing påpeker at ShinyHunters’ tradisjonelle metode, basert på identitetsmisbruk, sjelden produserer den typen tekniske spor som ellers er vanlig ved programvareutnyttelse. Dette gjør det vanskelig for sikkerhetsteam å proaktivt "jakte" på inntrengerne i denne kampanjen .

2026: Året ShinyHunters eskalerte – en tidslinje

PeopleSoft-kampanjen er bare det siste kapittelet i et brutalt akselererende angrepsår for ShinyHunters. Her er en oppsummering av gruppens 2026-offensiv:

• Tidlig 2026: AuraInspector-kampanjen, som utnyttet feilkonfigurerte Salesforce Experience Cloud-instanser. ShinyHunters hevdet å ha rammet nærmere 400 selskaper .
• Februar 2026: Wynn Resorts-innbruddet avslørte over 800.000 ansattes personopplysninger. Også her ble en Oracle PeopleSoft-sårbarhet brukt for førstegangsaksess .
• April–mai 2026: Det massive angrepet mot læringsplattformen Canvas/Instructure – historiens største datatyveri mot utdanningssektoren. ShinyHunters hevdet å ha stjålet rundt 275 millioner dataposter fra omtrent 9.000 institusjoner verden over .
• Mai–juni 2026: Charter Communications ble rammet, og 4,9 millioner kunderegistre ble eksponert .
• Juni 2026: Den nåværende Oracle PeopleSoft-kampanjen, hvor ytterligere over 100 nye organisasjoner er kompromittert .

Verizons årlige Data Breach Investigations Report (DBIR) for 2026 bekrefter en tydelig trend: For første gang på 19 år har utnyttelse av programvaresårbarheter passert stjålne passord som den vanligste måten datainnbrudd starter på . ShinyHunters’ overgang fra telefonsvindel til ekte programvareutnyttelse passer rett inn i dette urovekkende mønsteret.

En vekker for universitets-Norge

I Norge er universitets- og høyskolesektoren tungt avhengig av digitale plattformer for alt fra studentadministrasjon til undervisning. Selv om det ikke er bekreftet at norske institusjoner er rammet av PeopleSoft-angrepet, bør saken fungere som en alvorlig vekker.

Hendelsen illustrerer en brutal sannhet: Den samme sentraliserte programvaren som gjør digital læring og administrasjon effektiv, har også blitt et gigantisk, kritisk svakhetspunkt. Når én enkelt programvareleverandør har en ukjent sårbarhet, kan tusenvis av institusjoner verden over bli rammet nærmest samtidig . For norske læresteder er det essensielt å ha tett dialog med sine programvareleverandører og stille krav om rask varsling og oppdatering ved sikkerhetshull.