ShinyHunters y el FBI: la afirmación de un zero-day en PeopleSoft
El 22 de septiembre de 2026, ShinyHunters afirmó haber entrado en el FBI. El punto de entrada, según el grupo, fue un fallo sin parchear de ejecución remota de código en el Oracle PeopleSoft que hace funcionar el portal de selección de personal de la agencia, apply.fbijobs.gov, seguido de un salto a la infraestructura de AWS GovCloud gestionada por el FBI y del robo de 2–3 TB de datos sobre agentes, personal y candidatos. El FBI solo ha confirmado que está investigando. Buena parte de esta historia siguen siendo afirmaciones, así que este artículo las mantiene separadas de lo que está realmente establecido, y termina con lo que más importa a todos los demás: el grupo dice que ahora está usando el mismo zero-day contra empresas del Fortune 500.
Qué está confirmado
- El FBI está investigando. Su declaración completa: «El FBI tiene conocimiento de las afirmaciones sobre actividad no autorizada que afecta a FBIjobs.gov y lo está investigando». No ha confirmado una brecha ni un robo de datos.
- El sitio de selección de personal fue desfigurado. apply.fbijobs.gov mostró el logotipo de Umbreon del grupo y el mensaje «THIS SITE HAS BEEN SEIZED BY SHINYHUNTERS. rooting your systems since '19 ;)», y más tarde se sustituyó por una página de mantenimiento.
- Algunos registros filtrados parecen reales. 404 Media revisó unos 5.000 supuestos registros de empleados del FBI y comprobó que algunos datos (números de teléfono asociados a los nombres correctos) eran exactos.
Qué solo se afirma
| Afirmación | Estado |
|---|---|
| Acceso inicial mediante un nuevo zero-day de ejecución remota de código en Oracle PeopleSoft | Sin verificar: no hay CVE, ni versión, ni detalle técnico, ni aviso de Oracle |
| Movimiento lateral desde el portal de empleo hasta la AWS GovCloud gestionada por el FBI | Sin verificar |
| 2–3 TB robados: empleados actuales y antiguos, candidatos y registros internos | Sin verificar; una pequeña muestra se confirma en parte |
| Acceso a RR. HH., MedLink y los Criminal Justice Information Services (CJIS) | Sin verificar; la afirmación sobre CJIS sería, con diferencia, la más grave si fuera cierta |
| El mismo zero-day se está usando ahora contra empresas del Fortune 500 | Sin verificar |
Oracle, AWS y Mandiant no habían respondido a las preguntas de la prensa en el momento de las primeras informaciones. El grupo dijo a BleepingComputer: «El producto de Oracle en el que explotamos el 0day es PeopleSoft. Ayer encontramos otro y lo explotamos de inmediato contra el FBI».
Por qué dicen que lo hicieron
ShinyHunters dice que no se trata de dinero. Quiere que el FBI retire un boletín FLASH del 15 de mayo de 2026 que describía cómo el grupo acosaba a las víctimas y a sus familias con llamadas y mensajes amenazantes y, en algunos casos, con swatting. Dio a la agencia un plazo de una semana y, cuando se le preguntó si publicaría los datos si no se atendía su demanda, respondió «sin comentarios».
Que un grupo que suele extorsionar a cambio de un pago elija una demanda reputacional contra un organismo policial cambia el cálculo en un aspecto importante: no hay ningún rescate que pagar para poner fin al incidente. Lo que ocurra con los datos lo deciden por completo los atacantes.
Por qué un portal de empleo es una puerta de entrada peligrosa
Los portales de selección y de candidatos son algunas de las superficies de aplicaciones empresariales más expuestas que gestiona una organización. Tienen que ser accesibles para cualquiera en internet, aceptan subidas de archivos y texto libre de desconocidos y, en suites ERP como PeopleSoft, suelen estar en la misma capa de aplicación que los datos de RR. HH. y de nóminas. Si la afirmación es exacta, la ruta fue de manual: una aplicación expuesta al público, un fallo sin parchear, ejecución de código en el servidor de aplicaciones y, después, credenciales o roles de ese servidor usados para llegar a la infraestructura en la nube que hay detrás. El zero-day abre la puerta; lo que puede alcanzar el servidor de aplicaciones decide hasta dónde llega un atacante.
Un patrón que conviene ver
ShinyHunters ha tenido un 2026 ajetreado: reivindicó la brecha de Instructure Canvas en mayo y una extorsión multimillonaria a McKesson a principios de este mes, y se le ha relacionado con la explotación de Oracle E-Business Suite en 2025. Las suites de aplicaciones empresariales de Oracle aparecen una y otra vez en estas campañas: grandes, personalizadas, a menudo expuestas a internet y lentas de parchear en la práctica.
Para el lado de Oracle de esa historia (el zero-day de E-Business Suite de Cl0p, el robo de datos de pacientes de Oracle Health y la disputada afirmación sobre el inicio de sesión de Oracle Cloud), consulta la cronología de brechas de datos de Oracle.
Si usas PeopleSoft: qué hacer ahora
- Da por hecho que todavía no hay parche. Hasta que Oracle publique un aviso, trata cualquier PeopleSoft expuesto a internet como expuesto a una RCE sin parchear.
- Reduce primero la exposición. Inventaría cada punto de entrada público de PeopleSoft (selección de personal, portal de candidatos, autoservicio, portales de proveedores) y pon todo lo que no necesite ser público detrás de una VPN, de un proxy zero trust o, como mínimo, de un WAF estricto.
- Busca indicios en la capa web y de aplicación. Busca procesos hijos inesperados del servidor de aplicaciones, archivos nuevos o modificados en los directorios web (webshells), tareas programadas nuevas y conexiones salientes inusuales, sobre todo hacia almacenamiento en la nube o hosts desconocidos.
- Mapea lo que puede alcanzar el servidor de aplicaciones. El salto afirmado a GovCloud implica que se podían usar credenciales o roles de la nube desde la capa de aplicación. Revisa los roles de las instancias, las claves guardadas y las cuentas de servicio de los hosts de PeopleSoft, y recorta todo lo que vaya más allá de lo que la aplicación necesita estrictamente.
- Vigila los logs de auditoría de la nube. Revisa CloudTrail (o su equivalente) en busca de actividad de API originada en los hosts de PeopleSoft o en sus roles: claves nuevas, accesos inusuales a datos, lecturas masivas del almacenamiento.
- Prepárate para la vertiente de los candidatos. Los datos de los candidatos (documentos de identidad, currículos, datos de contacto) suponen una obligación real de notificación de brechas. Debes saber dónde están y a quién tendrías que notificar.
- Sigue las alertas de seguridad de Oracle por si sale una corrección fuera de ciclo, y aplícala en una ventana de cambio de emergencia cuando llegue.
La conclusión
La mayor parte de esta historia sigue siendo la versión del atacante, y debe leerse así. Pero no necesitas la confirmación del FBI para actuar sobre la parte que te afecta: un portal PeopleSoft expuesto al público es un punto de entrada plausible, se afirma que hay un zero-day en uso activo y el daño depende menos del fallo que de lo que tus servidores de aplicaciones tienen permitido alcanzar. Eso último está hoy por completo bajo tu control.
PlayCISO no está afiliado al FBI, a Oracle ni a ninguna de las partes mencionadas. Este artículo se basa en la información pública de BleepingComputer, The Register, TechCrunch, Axios, 404 Media y otros a 23 de septiembre de 2026. Las afirmaciones atribuidas a ShinyHunters no están verificadas; los detalles pueden cambiar a medida que avance la investigación.
Preguntas frecuentes
¿Entró realmente ShinyHunters en el FBI?
En parte confirmado, sobre todo afirmado. La desfiguración de apply.fbijobs.gov está confirmada por capturas de pantalla y por el paso del sitio a modo de mantenimiento, y 404 Media comprobó que algunos de los unos 5.000 supuestos registros de empleados contenían datos exactos. El FBI solo ha dicho que está investigando «las afirmaciones sobre actividad no autorizada que afecta a FBIjobs.gov». El zero-day, el salto a AWS GovCloud, la cifra de 2–3 TB y el acceso a sistemas como CJIS son afirmaciones no verificadas de los atacantes.
¿Qué es el zero-day de PeopleSoft?
No se sabe nada público más allá de la descripción de los atacantes: un fallo de ejecución remota de código en Oracle PeopleSoft, explotado contra el portal de selección de personal del FBI. No hay CVE, ni versión afectada, ni prueba de concepto y, en el momento de escribir esto, tampoco aviso ni parche de Oracle. Trátalo como un riesgo sin parchear para cualquier despliegue de PeopleSoft expuesto a internet hasta que Oracle diga lo contrario.
¿Por qué dice ShinyHunters que lo hizo?
El grupo dice que el ataque no tiene motivación económica. Quiere que el FBI retire o corrija un boletín FLASH del 15 de mayo de 2026 que describía cómo el grupo acosaba a las víctimas y a sus familias con llamadas y mensajes amenazantes y, en algunos casos, con swatting. Dio un plazo de una semana y no quiso decir si filtraría los datos si no se atendía su demanda.
¿Deberían preocuparse las organizaciones que usan PeopleSoft?
Sí, en concreto por los despliegues expuestos a internet. ShinyHunters afirma que ahora usa la misma vulnerabilidad contra empresas del Fortune 500. Sin un parche disponible, los pasos prácticos son reducir la exposición (poner los portales públicos de PeopleSoft, como los de selección de personal y autoservicio, detrás de una VPN o de un WAF), buscar indicios de compromiso en los servidores web y de aplicaciones de PeopleSoft y comprobar a qué credenciales de la nube pueden llegar esos servidores.
¿Quién es ShinyHunters?
Un grupo veterano de robo de datos y extorsión activo al menos desde 2019 (su mensaje de desfiguración decía «rooting your systems since '19»). Solo en 2026 ha reivindicado la brecha de Instructure Canvas en mayo y una extorsión multimillonaria a McKesson en septiembre, y se le ha relacionado con la explotación de Oracle E-Business Suite en 2025. Las aplicaciones empresariales de Oracle han sido un objetivo recurrente.