ShinyHunters 轉移戰術：利用零時差漏洞大規模攻擊 Oracle PeopleSoft，高教界淪為頭號目標

ShinyHunters 採取「付錢否則公開」的模式，一旦受害者拒絕支付贖金，遭竊的資料便會被發布到他們的資料外洩網站上 。

頭號受害者：教育界與諾丁漢大學

在這波攻擊中，大學成了最大的苦主。ShinyHunters 將攻擊火力高度集中在大專院校，延續了他們在 2026 年稍早攻擊 Canvas/Instructure 學習管理系統和 Salesforce Experience Cloud 平台時的模式 。

英國諾丁漢大學已公開證實遭到入侵。攻擊者在 2026 年 5 月底，滲透了該校由 Oracle PeopleSoft 驅動的「校園解決方案」學生記錄系統 。ShinyHunters 在暗網上公布的資料樣本中，包含了學生、申請者、獎助學金、移民、健康以及行政管理等各類紀錄 。該集團更聲稱，他們竊取的敏感資料超過 40 GB，涵蓋帳務與付款紀錄、信用卡資訊、學生財務數據，以及來自諾丁漢大學在英國、馬來西亞和中國等校區的校園入口網站資料 。

關鍵戰術轉變：從「打電話騙人」到「找漏洞駭入」

這場 PeopleSoft 攻擊行動，是 ShinyHunters 在戰術上的重大轉向。在 2025 年及 2026 年初，該集團幾乎完全仰賴身分與存取權限的濫用——也就是語音釣魚、社交工程、Okta 單一登入系統劫持，以及 OAuth 權杖的濫用——來入侵組織 。Google 旗下的威脅情報團隊 Mandiant 曾詳細記錄他們如何冒充 IT 服務台人員，引導員工至仿冒公司品牌的釣魚網站，藉此竊取單一登入帳密和 MFA 驗證碼 。

資安威脅簡報《The Crosswalk》更直言，ShinyHunters「幾乎從不利用軟體漏洞」，而是專注於攻擊客服驗證流程、員工 MFA 機制與第三方 SaaS 服務的 OAuth 權杖 。這次的 PeopleSoft 攻擊完全打破了這個模式，採用了真正的軟體漏洞利用技術，甚至包含了零時差漏洞，這是他們過往行動中前所未見的 。

官方反應：甲骨文與英國當局態度低調

截至 2026 年 6 月 10 日，甲骨文公司尚未針對此特定攻擊事件發布公開聲明或資安公告，也未證實或宣布任何與此活動相關的修補程式 。

英國當局，包括資訊專員辦公室和執法單位，同樣未對此事件發表具體的公開評論。諾丁漢大學目前正自行處理後續，除直接通知學生外，也暫時將受影響的系統下線進行調查 。

威脅指標（IoCs）與防禦現況

資安社群目前尚未廣泛發布與此波攻擊直接相關的特定威脅指標，例如攻擊來源的 IP 位址或檔案雜湊值。資安公司 Huntress 發布的威脅檔案中，列出了與 ShinyHunters 基礎設施相關的網路指標，但這些指標主要與其針對 SaaS 服務的攻擊行動有關，並非源自此次的 PeopleSoft 漏洞利用 。

《The Crosswalk》的簡報也指出，由於 ShinyHunters 的典型手法是身分濫用，因此很少會留下與軟體漏洞相關的特定 IoCs，這使得針對此次攻擊的防禦性威脅獵捕變得更加困難 。

2026 年：ShinyHunters 的全面升級

這次的 PeopleSoft 事件，是 ShinyHunters 在 2026 年一整年攻擊行動急遽升級的一環：

• 2026 年初：AuraInspector 行動，利用 Salesforce Experience Cloud 設定不當的漏洞，聲稱影響近 400 個組織 。
• 2026 年 2 月：永利度假村（Wynn Resorts）資料外洩事件，超過 80 萬筆員工資料遭竊，其初始入侵管道也與 Oracle PeopleSoft 漏洞有關 。
• 2026 年 4 至 5 月：Canvas/Instructure 學習管理系統遭駭事件，這是史上最大宗的教育界資料竊案，ShinyHunters 聲稱從約 8,000 至 9,000 個機構中竊取了 2.75 億筆資料 。
• 2026 年 5 至 6 月：特許通訊（Charter Communications）資料外洩事件，490 萬筆客戶資料外洩 。
• 2026 年 6 月：Oracle PeopleSoft 攻擊行動，再加入超過 100 個組織、300 多個系統實例 。

Verizon 發布的《2026 年資料外洩調查報告》證實了一個結構性的轉變：漏洞利用首次在 19 年來的報告中，超越被盜憑證，成為最主要的資料外洩途徑 。ShinyHunters 從身分濫用轉向利用實際的漏洞串鏈，正好呼應了這股更廣泛的趨勢，也預示著針對廣泛部署的企業平台所發動的大規模平行攻擊，很可能會持續下去。

對於各大學來說，教訓是殘酷的。像 Canvas 和 PeopleSoft 這類整合式的軟體供應鏈，雖然讓遠距教學和行政管理變得更便利，但也使得它們成為單一的致命破口——一旦攻擊者在某個未修補的邊緣找到突破口，災難便隨之而來 。