Grupo de Crimes Cibernéticos Ataca Oracle PeopleSoft e Rouba Dados de Milhares de Estudantes

O grupo empregou uma "corrente de dispositivos" ('gadget chain') — uma combinação de vulnerabilidades antigas, já conhecidas, encadeadas com explorações inéditas (zero-day) no PeopleSoft . De acordo com sua comunicação ao site BleepingComputer, o ataque não funciona de maneira uniforme; o sucesso depende de como cada alvo configurou sua implementação do PeopleSoft .

Este modelo de "pague-ou-vaze" significa que quando as vítimas se recusam a pagar o resgate, os dados roubados são publicados no site de vazamentos do ShinyHunters .

O Setor de Educação Foi o Alvo Principal

As universidades foram as que mais sofreram com o ataque. O ShinyHunters concentrou seus esforços pesadamente em instituições de ensino superior, continuando um padrão já estabelecido em suas campanhas anteriores em 2026 contra a Canvas/Instructure e o Salesforce Experience Cloud .

A Universidade de Nottingham confirmou que foi invadida. Os atacantes se infiltraram no sistema de registros de alunos do Campus Solutions — que é fornecido pelo Oracle PeopleSoft — no final de maio de 2026 . Uma amostra dos dados exfiltrados, divulgada pelo ShinyHunters, inclui registros de estudantes, candidatos, auxílio financeiro, imigração, saúde e administração . O grupo alega ter roubado mais de 40 GB de informações sensíveis, incluindo registros de cobrança e pagamento, detalhes de cartão de crédito, dados de financiamento estudantil e exportações do portal do campus, abrangendo os campi da Universidade de Nottingham no Reino Unido, Malásia e China .

Uma Tática em Transformação: De Golpes por Telefone a Ataques Inéditos

A campanha contra o PeopleSoft marca uma guinada tática significativa para o ShinyHunters. Durante a maior parte de 2025 e início de 2026, o grupo dependia quase que exclusivamente de abuso de identidade e acesso — golpes de voz (vishing), engenharia social, invasões de contas de SSO do Okta e uso indevido de tokens OAuth — para violar organizações . Relatórios da Mandiant e do Google Threat Intelligence Group documentaram como o ShinyHunters se passava por funcionários da central de TI, direcionava funcionários para sites de phishing com a marca da empresa e roubava credenciais de login único e códigos de autenticação multifator (MFA) .

O boletim de inteligência de ameaças The Crosswalk afirmou categoricamente que o ShinyHunters "quase nunca explora vulnerabilidades de software" e, em vez disso, foca na verificação da central de ajuda, no MFA de funcionários e em tokens OAuth de aplicativos SaaS de terceiros . Os ataques ao PeopleSoft quebram completamente esse molde, usando explorações genuínas de software — incluindo falhas de dia zero — algo nunca antes visto em suas operações .

Oracle e Autoridades Britânicas: Resposta Pública Limitada Até o Momento

Até 10 de junho de 2026, a Oracle não havia emitido nenhuma declaração pública ou alerta de segurança abordando especificamente esta campanha contra o PeopleSoft. Nenhum patch relacionado a esta atividade foi anunciado ou confirmado .

As autoridades do Reino Unido — incluindo o Gabinete do Comissário de Informação (ICO, na sigla em inglês) e as forças de segurança — não fizeram nenhum comentário público específico sobre o incidente. A Universidade de Nottingham gerenciou sua resposta internamente, informando os alunos diretamente e tirando sistemas do ar temporariamente para investigação .

Indicadores de Comprometimento: O que Está Disponível

A comunidade de segurança ainda não publicou amplamente indicadores de comprometimento (IoCs) específicos para o PeopleSoft, como endereços IP ou hashes de arquivos vinculados a esta campanha. A Huntress publicou um Perfil de Ator de Ameaça mais amplo com indicadores de rede associados à infraestrutura do ShinyHunters, mas eles estão relacionados a campanhas focadas em SaaS, não especificamente à exploração do PeopleSoft .

O boletim do The Crosswalk observa que a tática típica do ShinyHunters — abuso de identidade — raramente produz IoCs específicos de vulnerabilidade de software, tornando a caça defensiva para esta campanha em particular mais difícil .

A Escalada do ShinyHunters em 2026: Um Padrão de Extorsão em Massa

A campanha do PeopleSoft se encaixa em uma brutal escalada ao longo do ano:

• Início de 2026: A campanha AuraInspector explorou instâncias do Salesforce Experience Cloud mal configuradas, com o ShinyHunters alegando quase 400 organizações afetadas .
• Fevereiro de 2026: A violação no Wynn Resorts expôs mais de 800.000 registros de funcionários, com o acesso inicial também ligado a uma vulnerabilidade no Oracle PeopleSoft .
• Abril–Maio de 2026: A violação do sistema de gestão de aprendizagem Canvas/Instructure — o maior roubo de dados do setor educacional já registrado — fez com que o ShinyHunters reivindicasse 275 milhões de registros em aproximadamente 8.000 a 9.000 instituições .
• Maio–Junho de 2026: A violação na Charter Communications expôs 4,9 milhões de registros de clientes .
• Junho de 2026: A campanha do Oracle PeopleSoft adicionou outras mais de 100 organizações e mais de 300 instâncias .

O Relatório de Investigações de Violação de Dados (DBIR) de 2026 da Verizon confirmou uma mudança estrutural: a exploração de vulnerabilidades ultrapassou o uso de credenciais roubadas como o principal vetor de violação pela primeira vez em 19 anos . A guinada do ShinyHunters para o uso de cadeias de exploração reais — em vez de abuso de identidade — está alinhada com essa tendência mais ampla e sinaliza que campanhas massivas e paralelas contra plataformas empresariais amplamente implementadas provavelmente continuarão.

Para as universidades, a lição é dura. A mesma cadeia de fornecimento de software consolidada que tornou plataformas como Canvas e PeopleSoft essenciais para o aprendizado remoto e administração também as transformou em pontos de falha únicos catastróficos quando os atacantes encontram uma brecha sem correção .