ShinyHunters uderzają w Oracle PeopleSoft – co ujawniono o ataku na uczelnie i dane milionów osób

Poza sektorem edukacji, ataki objęły również firmy z branż:

• technologicznej i software’owej,
• finansowej,
• ochrony zdrowia,
• energetycznej,
• logistycznej,
• nieruchomości .

To nie pierwszy atak ShinyHunters na instytucje akademickie. Wcześniej grupa zaatakowała m.in. platformę Canvas (system zarządzania nauczaniem używaną przez ponad 8 tys. szkół na świecie) .

Jakie dane zostały skradzione?

ShinyHunters mieli uzyskać dostęp do szerokiego zakresu poufnych informacji, w tym:

• danych osobowych (PII): imiona, nazwiska, adresy e-mail, numery telefonów i adresy zamieszkania ,
• danych kadrowo-płacowych i finansowych pochodzących z systemów PeopleSoft ,
• rekordów studentów i nauczycieli – w przypadku wcześniejszego ataku na Canvas mowa była nawet o setkach milionów wpisów ,
• tokenów uwierzytelniających, które umożliwiły hakerom dalsze ataki na powiązane środowiska, m.in. Salesforce i inne platformy chmurowe .

Zaskakujący wątek FBI i fałszywe alarmy (swatting)

W rozmowie z TechCrunch jeden z członków ShinyHunters ujawnił zaskakujący motyw stojący za atakiem na PeopleSoft. Okazuje się, że pierwotnym celem grupy było włamanie na serwer FBI PeopleSoft . Plan był szokujący – hakerzy chcieli opublikować za pośrednictwem rządowego serwera oświadczenie, w którym zdementowaliby swoje powiązania z serią ataków typu swatting, o które FBI oskarżyło środowiska powiązane z ShinyHunters w publicznym alercie .

Swatting to niebezpieczna praktyka polegająca na zgłaszaniu służbom fałszywych, poważnych incydentów (np. wtargnięcia uzbrojonych napastników), by sprowokować interwencję jednostek specjalnych pod adresem ofiary. FBI ostrzegało przed takimi działaniami na początku 2026 roku, co najwyraźniej nie spodobało się grupie ShinyHunters. Próba włamania na serwer FBI zakończyła się jednak niepowodzeniem .

Reakcja Oracle – łatka, ale bez oficjalnego stanowiska

Mimo powagi sytuacji i medialnego szumu, Oracle nie wydało oficjalnego oświadczenia odnoszącego się bezpośrednio do roszczeń ShinyHunters . Firma nie potwierdziła ani nie zaprzeczyła, że do ataku faktycznie doszło.

Zaledwie kilka dni po ujawnieniu ataku, 10 czerwca 2026 roku, Oracle opublikowało krytyczną aktualizację bezpieczeństwa oznaczoną jako CVE-2026-35273 . Luka, której dotyczyła łatka, otrzymała maksymalną ocenę zagrożenia 9.8 w skali CVSS. Była możliwa do wykorzystania zdalnie, bez uwierzytelnienia, i mogła prowadzić do zdalnego wykonania kodu na serwerze .

Eksperci ds. bezpieczeństwa oraz redakcja BleepingComputer szybko powiązali tę konkretną poprawkę z metodą, jaką ShinyHunters rzekomo wykorzystali do ataku na setki instytucji . Mimo to Oracle w komunikacie ograniczyło się wyłącznie do technicznych szczegółów łatki, nie wspominając ani słowem o grupie hakerskiej.

Co dalej?

Atak na Oracle PeopleSoft to kolejny dowód na to, że ShinyHunters pozostają jednym z najgroźniejszych graczy na cyberprzestępczej scenie, celując w instytucje przechowujące wrażliwe dane milionów ludzi. Dla administratorów systemów PeopleSoft priorytetem powinno być natychmiastowe wdrożenie udostępnionej łatki, przejrzenie logów pod kątem podejrzanych aktywności i wzmocnienie mechanizmów uwierzytelniania.

W obliczu milczenia Oracle, pytania o pełną skalę strat i odpowiedzialność za wyciek pozostają na razie bez odpowiedzi.