✨︎ Resumen (TL;DR):
- ShinyHunters asegura que explotó una vulnerabilidad de día cero en Oracle PeopleSoft y descargó información desde sistemas del FBI.
- El grupo dice haber sustraído entre 2 y 3 terabytes de datos de empleados actuales, anteriores y aspirantes.
- El FBI investiga la actividad en FBIjobs.gov, pero no confirma el robo; ShinyHunters exige retirar un informe y dice que no busca dinero.
ShinyHunters asegura que explotó una vulnerabilidad de día cero en Oracle PeopleSoft para entrar al portal de empleos del FBI y robar entre 2 y 3 terabytes de información. El grupo afirma que obtuvo nombres, domicilios, teléfonos y datos sobre los cónyuges de agentes, y exige al buró retirar un informe publicado en su contra. El FBI dice que investiga actividad no autorizada en FBIjobs.gov, pero no confirma el ataque ni el alcance del supuesto robo.
El FBI investiga, pero no confirma el robo
Después de que 404 Media dio a conocer el caso, un portavoz del FBI dijo a ese medio que la agencia estaba al tanto de las afirmaciones sobre actividad no autorizada en FBIjobs.gov y que investigaba. El buró no validó el robo ni la cantidad de información que describe ShinyHunters.
Oracle y AWS tampoco confirmaron el ataque. The Register les preguntó, entre otros puntos, si Oracle tenía constancia de una falla de día cero en PeopleSoft que permitiera ejecutar código de forma remota y sin autenticación. Las dos compañías no han reconocido la existencia de esa vulnerabilidad ni el supuesto robo.
La evidencia disponible por ahora es parcial. 404 Media revisó una muestra que, según los atacantes, contenía datos de 5,000 empleados. El medio cruzó algunos teléfonos con herramientas de inteligencia de fuentes abiertas: varios coincidían con personas que tenían el mismo nombre que aparecía en los archivos y, en algunos casos, con personal del Departamento de Justicia. Esa revisión no confirmó de forma independiente la intrusión ni el alcance de la filtración.
TechCrunch consultó el sitio de filtraciones de ShinyHunters en la web oscura. Ahí, el grupo afirma tener “datos sensibles de casi todos los agentes del FBI” y de sus aspirantes a empleo.
ShinyHunters también alteró la página de empleos con un mensaje que imitaba los avisos de incautación del FBI. Al momento de la nota, ese sitio y el Portal para Aspirantes a Agente Especial aparecían fuera de servicio.
La ruta del ataque, según ShinyHunters
La vulnerabilidad de día cero es una falla de seguridad que, según ShinyHunters, permitía ejecutar código de forma remota en el portal de empleos de PeopleSoft. Oracle no ha confirmado que la falla exista, así que esta ruta permanece sin verificación.
PeopleSoft es un sistema que suelen utilizar las áreas de recursos humanos y reclutamiento para almacenar datos de aspirantes. ShinyHunters dijo a The Register que, después de entrar al portal, se movió lateralmente hasta servidores del FBI alojados en AWS GovCloud y descargó la información.
Según la versión del grupo, la secuencia fue:
- Punto de entrada: el portal de empleos basado en Oracle PeopleSoft.
- Movimiento lateral: servidores del FBI alojados en AWS GovCloud.
- Sistemas mencionados: recursos humanos, MedLink y el sistema de Servicios de Información de Justicia Penal, CJIS.
En otro mensaje, ShinyHunters sostuvo que robó información de identificación personal y de salud protegida, PII/PHI, de empleados actuales y anteriores. También afirmó que tiene todos los datos de los aspirantes y mucho más material del que ha mostrado. Ninguna de esas afirmaciones cuenta con confirmación independiente.
El riesgo de exponer domicilios y contactos
La sola posibilidad de que circulen domicilios y teléfonos de agentes del FBI abriría un frente de contrainteligencia. TechCrunch advirtió que servicios de inteligencia extranjeros podrían usar esos datos para presionar o extorsionar a agentes y a sus familias, con el objetivo de forzar su colaboración.
404 Media recordó que delincuentes del mismo entorno que ShinyHunters ya han utilizado datos robados, incluidos registros telefónicos, para rastrear, intimidar y hostigar a agentes que los investigaban. Si el material llega a más manos, la filtración pondría en riesgo la seguridad de los agentes y sus cónyuges.
El caso también sería la segunda intrusión conocida este año contra un sistema del FBI, según TechCrunch. La anterior ocurrió en una plataforma para gestionar escuchas y órdenes de inteligencia, a la que entraron atacantes no identificados. Por separado, un grupo respaldado por Irán hackeó y filtró la cuenta de correo personal de Kash Patel, director del FBI.
La exigencia: retirar el informe, no pagar
ShinyHunters sostiene que el ataque no busca dinero. “Esto NO tiene motivación económica”, dijo un vocero del grupo a The Register. También pidió que el FBI corrija o retire declaraciones que, según el grupo, incluyen acusaciones falsas.
A 404 Media, el mismo representante matizó que lo que planea “no es algo que yo llamaría extorsión, quizá coacción”, y fijó un plazo de una semana para que el buró rectifique.
La exigencia se dirige contra un boletín que el FBI publicó el 15 de mayo, después de que ShinyHunters irrumpiera en Canvas, la plataforma educativa de Instructure. En ese aviso, la agencia describió al grupo como una organización que exagera su acceso a información sensible para forzar pagos, envía mensajes y llamadas amenazantes a víctimas y familiares y, en algunos casos, recurre al swatting.
El swatting es una denuncia falsa de emergencia que busca provocar una intervención policial. El boletín también advirtió que los extorsionadores a veces aseguran tener material comprometedor que no existe.
ShinyHunters niega esas acusaciones. El grupo sostiene que ha intentado combatirlas y que esta acción es, a su juicio, la mejor manera de conseguir que el FBI corrija el informe.
Activo desde 2019, ShinyHunters es conocido por robos masivos de datos y campañas de extorsión contra empresas de tecnología, finanzas y comercio.
Lo que sí está confirmado
El saldo comprobable es más limitado que la declaración del grupo: el portal de empleos del FBI quedó fuera de servicio y la agencia abrió una investigación sobre actividad no autorizada.
El tamaño real del supuesto robo, la existencia de una falla de día cero en PeopleSoft y la cantidad de agentes afectados no tienen confirmación independiente. Hasta que esa verificación ocurra, la extracción de 2 a 3 terabytes y la supuesta exposición de casi todos los agentes siguen siendo afirmaciones de ShinyHunters.
