黑客組織ShinyHunters狂爆Oracle伺服器 波及逾百機構 大學成重災區

事件拆局：黑客「ShinyHunters」究竟搞邊科？

網絡犯罪組織「ShinyHunters」近期動作頻頻，佢哋聲稱對Oracle PeopleSoft伺服器發動咗大規模數據盜竊攻擊，震動成個IT界。以下係截至2026年6月初事件嘅全面拆局。

究竟邊啲系統被攻破？

ShinyHunters向多間科技傳媒（包括TechCrunch同BleepingComputer）親口承認，佢哋嘅目標係Oracle嘅PeopleSoft伺服器 。PeopleSoft係甲骨文旗下嘅一套企業資源規劃（ERP）同人力資本管理軟件，全球好多大型機構都用佢嚟處理核心營運數據。據黑客所述，佢哋利用咗一啲舊漏洞夾雜新嘅零日漏洞（Zero-day），總共攻陷咗大約300個PeopleSoft實例，波及超過100間機構 。

邊啲機構慘變苦主？

呢次攻擊嘅受害者名單相當之長，而且橫跨多個行業：

• 教育界係重災區：絕大部分受害者係大學同高等教育機構 。其中一個已經確認嘅苦主係英國諾定咸大學（Nottingham University） 。
• 其他行業亦不能倖免：攻擊亦波及咗軟件/科技、金融服務、醫療保健、能源、物流同房地產等多個領域 。
• 更廣泛嘅受害者網絡：回顧過去18個月，ShinyHunters相關嘅攻擊仲影響到學習管理系統Instructure/Canvas 、電信商Charter Communications 、Telus Digital 、數據分析公司Anodot ，以及Zara、7-Eleven、Carnival、ADT、Udemy、Rockstar Games、Medtronic等知名品牌 。

被盜數據有幾「金」？

黑客話佢哋偷到嘅數據非常豐富，主要包括：

• 個人身份資料（PII）：例如姓名、電郵地址、電話號碼同住址 。
• 敏感業務紀錄：來自PeopleSoft系統嘅HR同財務檔案 。
• 學生同教職員檔案：喺早前Canvas/Instructure嘅攻擊中，黑客聲稱偷咗數以億計嘅學生同教師紀錄 。
• 關鍵嘅認證權杖：呢啲權杖可以用嚟發動進一步攻擊，例如入侵Salesforce或其他雲端平台，造成更大損害 。

黑客嘅「原本計劃」：關FBI同「報假案」咩事？

成件事最戲劇性嘅部分，係黑客原本有一個更大膽嘅目標。一個ShinyHunters成員向TechCrunch爆料，佢哋嘅原意係想攻陷FBI（聯邦調查局）嘅PeopleSoft伺服器 。

點解要咁做？因為FBI早前發出咗公開警報，指出ShinyHunters相關人士同近期一連串針對美國多間機構嘅「報假案」（Swatting，即係虛報嚴重罪案引導特警上門）事件有關。黑客團隊對呢個指控極度不滿，佢哋計劃一旦成功入侵FBI伺服器，就會利用FBI嘅官方渠道發聲明，鄭重否認同呢啲報假案事件有任何關連，以此向公眾「澄清」 。不過，據該成員透露，呢次針對FBI嘅入侵行動最終以失敗告終 。

Oracle點樣回應呢場「浩劫」？

截至2026年6月10日至11日，Oracle方面依然冇就ShinyHunters嘅指控發表任何公開聲明 。

不過，行動勝於空談。Oracle喺6月10日發佈咗一個針對漏洞CVE-2026-35273嘅「安全警示公告」 。呢個漏洞存在於Oracle PeopleSoft PeopleTools之中，危險程度評分（CVSS）高達9.8分（滿分10分），屬於極度嚴重級別。黑客可以喺唔需要任何身份驗證嘅情況下，遙距利用呢個漏洞執行任意程式碼（Remote Code Execution） 。

多位網絡安全研究員同BleepingComputer都指出，呢個被修補嘅漏洞極有可能就係ShinyHunters今次大規模攻擊所利用嘅關鍵入口 。換言之，Oracle雖然冇正面認錯，但已經用行動「默認」咗系統存在嚴重缺口，並呼籲所有客戶必須立即安裝修補程式，以防火勢蔓延。