Группа вымогателей ShinyHunters заявила, что получила доступ к инфраструктуре Федерального бюро расследований США и похитила данные действующих и бывших сотрудников, а также кандидатов на работу. ФБР подтвердило, что расследует несанкционированную активность, связанную с порталом FBIJobs.gov, но пока не подтвердило масштаб взлома и сам факт кражи данных.
О заявлении ShinyHunters стало известно 22 сентября 2026 года. Группа утверждает, что получила доступ к данным «почти всех агентов ФБР» и людей, подававших заявления на работу в бюро.
По словам хакеров, в предполагаемой утечке могут находиться:
- имена и должности сотрудников;
- табельные и служебные номера;
- домашние адреса и номера телефонов;
- даты рождения;
- сведения о супругах;
- отдельные медицинские и психиатрические документы;
- информация о служебных обязанностях и назначениях.
Группа также заявила, что похитила от 2 до 3 Тбайт данных. По её версии, первоначальный доступ был получен через портал FBIJobs.gov, после чего злоумышленники переместились на внутренние серверы, размещённые в AWS GovCloud.
Всего ShinyHunters заявляет о доступе к нескольким сервисам ФБР:
- FBIJobs.gov — портал для соискателей;
- FBI BEAST — система проверок сотрудников и кандидатов;
- FBI MedLink — сервис, связанный с медицинскими данными персонала;
- FBI BICS — система, которую группа связывает с расследованиями.
Однако эти утверждения пока не подтверждены представителями самого бюро. Неясно, действительно ли атакующие проникли во внутреннюю сеть ФБР или получили данные через стороннего поставщика, обслуживающего портал трудоустройства.
ФБР заявило, что знает о сообщениях преступной группы о компрометации FBIJobs.gov и предполагаемом воздействии на персональные данные сотрудников. Бюро проводит расследование, сотрудничает с поставщиками портала и принимает меры для снижения рисков.
Отметим, что портал FBIJobs.gov оставался недоступен как минимум несколько дней после появления заявлений хакеров. Официальные лица не сообщили, сколько человек могло пострадать и были ли опубликованные образцы данных подлинными.
ShinyHunters передала журналистам образцы предполагаемой базы. Один из наборов, изученный 404 Media, вероятно, содержал сведения примерно о 5 тыс. сотрудников, включая имена, адреса, телефоны и информацию о членах семей.
Reuters обнаружило в опубликованных материалах данные о служебных назначениях сотрудников, в том числе о работе, связанной с противодействием китайской и российской разведкам, наркокартелям и другим направлениям. Позднее журналисты изучили документы, которые могут содержать медицинские и психиатрические сведения о сотрудниках. Однако окончательная проверка подлинности всей базы и определение источника данных ещё не завершены.
ShinyHunters утверждает, что использовала ранее неизвестную уязвимость в Oracle PeopleSoft, на котором якобы работал портал трудоустройства. По словам группы, ошибка позволила удалённо выполнить код на сервере и затем получить доступ к другим системам. Сама Oracle пока не подтверждала связь этой уязвимости с инцидентом. При этом в ShinyHunters утверждают, что уже применяют тот же эксплоит против других организаций, включая крупнейшие компании из списка Fortune 500.
Если опубликованные сведения окажутся подлинными, инцидент создаст сразу несколько рисков:
- адресные атаки на сотрудников и их родственников;
- шантаж и социальную инженерию;
- угрозу вербовки сотрудников, работающих с чувствительной информацией;
- подделку служебных сообщений и вербовочных предложений;
- раскрытие структуры и направлений работы ФБР.
Особенно опасна комбинация персональных данных с информацией о должности и служебных обязанностях. Она позволяет атакующим точнее выбирать жертв и составлять правдоподобные фишинговые сообщения.
Хакеры из ShinyHunters заявили, что атаку нельзя считать обычной финансово мотивированной кампанией. Представители группы связали взлом с критикой в адрес хакеров в отчёте ФБР и потребовали от бюро отозвать или изменить публикацию о деятельности группировки.
Требование группировки связано с предупреждением ФБР, опубликованным 15 мая после атаки на систему управления онлайн-обучением, которой пользовались образовательные учреждения.
В документе бюро предупреждало, что ShinyHunters оказывает давление на жертв с помощью преследования, угроз в адрес пострадавших и их родственников, а иногда и ложных вызовов экстренных служб. Такая практика называется swatting: злоумышленник сообщает полиции о вымышленном чрезвычайном происшествии, чтобы вооружённые сотрудники приехали к дому жертвы.
Хакеры отрицают эти методы и дали ФБР неделю на исправление или удаление предупреждения.
С заботой о вашей безопасности, команда Origin Security
Источник изображения: Perplexity.ai
