黑客組織ShinyHunters狂爆Oracle伺服器 波及逾百機構 大學成重災區

被盜數據有幾「金」？

黑客話佢哋偷到嘅數據非常豐富，主要包括：

• 個人身份資料（PII）：例如姓名、電郵地址、電話號碼同住址 。
• 敏感業務紀錄：來自PeopleSoft系統嘅HR同財務檔案 。
• 學生同教職員檔案：喺早前Canvas/Instructure嘅攻擊中，黑客聲稱偷咗數以億計嘅學生同教師紀錄 。
• 關鍵嘅認證權杖：呢啲權杖可以用嚟發動進一步攻擊，例如入侵Salesforce或其他雲端平台，造成更大損害 。

黑客嘅「原本計劃」：關FBI同「報假案」咩事？

成件事最戲劇性嘅部分，係黑客原本有一個更大膽嘅目標。一個ShinyHunters成員向TechCrunch爆料，佢哋嘅原意係想攻陷FBI（聯邦調查局）嘅PeopleSoft伺服器 。

點解要咁做？因為FBI早前發出咗公開警報，指出ShinyHunters相關人士同近期一連串針對美國多間機構嘅「報假案」（Swatting，即係虛報嚴重罪案引導特警上門）事件有關。黑客團隊對呢個指控極度不滿，佢哋計劃一旦成功入侵FBI伺服器，就會利用FBI嘅官方渠道發聲明，鄭重否認同呢啲報假案事件有任何關連，以此向公眾「澄清」 。不過，據該成員透露，呢次針對FBI嘅入侵行動最終以失敗告終 。

Oracle點樣回應呢場「浩劫」？

截至2026年6月10日至11日，Oracle方面依然冇就ShinyHunters嘅指控發表任何公開聲明 。

不過，行動勝於空談。Oracle喺6月10日發佈咗一個針對漏洞CVE-2026-35273嘅「安全警示公告」 。呢個漏洞存在於Oracle PeopleSoft PeopleTools之中，危險程度評分（CVSS）高達9.8分（滿分10分），屬於極度嚴重級別。黑客可以喺唔需要任何身份驗證嘅情況下，遙距利用呢個漏洞執行任意程式碼（Remote Code Execution） 。

多位網絡安全研究員同BleepingComputer都指出，呢個被修補嘅漏洞極有可能就係ShinyHunters今次大規模攻擊所利用嘅關鍵入口 。換言之，Oracle雖然冇正面認錯，但已經用行動「默認」咗系統存在嚴重缺口，並呼籲所有客戶必須立即安裝修補程式，以防火勢蔓延。