أعلنت مجموعة الاختراق ShinyHunters، مساء الثلاثاء 22 سبتمبر 2026، اختراق أنظمة تابعة لمكتب التحقيقات الفيدرالي الأمريكي (FBI). وادعت المجموعة استغلال ثغرة يوم صفر (Zero-day) غير مرقعة في خوادم Oracle PeopleSoft، والتي تتيح للمهاجمين تنفيذ التعليمات البرمجية عن بُعد (RCE).
ورغم غياب التأكيد الرسمي من شركة أوراكل حتى الآن، زعم المهاجمون سرقة بيانات يتراوح حجمها بين 2 إلى 3 تيرابايت.
من جانبه، اكتفى مكتب التحقيقات الفيدرالي بتأكيد وجود تحقيق جارٍ بشأن نشاط غير مصرح به استهدف موقع الوظائف التابع له (FBIjobs.gov). وتشير المعطيات الأولية إل أن نقطة الدخول المزعومة كانت عبر النطاق الفرعي (apply.fbijobs.gov) وتحديداً من خلال مسار (/PSEMHUB/). وحتى الآن، لم يُخصص أي مُعرف رسمي (CVE) للثغرة المزعومة، واقتصر التحقق المستقل للبيانات على عينة تضم نحو 5,000 سجل مسرب.
تفاصيل الاختراق والتحركات التقنية المزعومة
أفادت المجموعة بأن الهجوم الأولي نُفذ ليلة الاثنين، وتلاه انتقال جانبي داخل الشبكة للوصول إلى بنية AWS GovCloud السحابية التي يديرها المكتب. وبحسب الادعاءات، استهدفت العملية خدمات عدة تشمل الموارد البشرية، والعدالة الجنائية، ونظام Medlink.
ولإثبات الاختراق، نشرت المجموعة لقطة شاشة تظهر موقع التوظيف برسالة تحمل شعار Umbreon، زاعمة الاستيلاء على معلومات شخصية وصحية حساسة لموظفين حاليين وسابقين ومتقدمين للعمل. وتشير التفاصيل إلى أن المكتب الفيدرالي اكتشف الاختراق سريعاً، وأخرج الأنظمة المتأثرة من الخدمة.
لم تصدر شركة أوراكل أي تعليق علني حول وجود ثغرة جديدة في خوادمها حتى وقت النشر، كما التزمت فرق الاستجابة في Mandiant التابعة لجوجل كلاود الصمت حيال الحادثة. وتتوعد المجموعة حالياً باستغلال الثغرة ذاتها لاستهداف شركات قائمة Fortune 500 بعد أن استهدفت قطاع التعليم مسبقاً.
تاريخ الهجمات ودوافع المجموعة
تأتي هذه الحادثة في أعقاب حملة هجمات نفذتها المجموعة في يونيو 2026، استهدفت خلالها خوادم Oracle PeopleSoft في أكثر من 100 منظمة، تركزت غالبيتها في قطاع التعليم العالي وشملت 300 نسخة تطبيقية. واعتمدت تلك الحملة على استغلال ثغرة معروفة (CVE-2026-35273 بتقييم CVSS عند 9.8)، والتي تمت معالجتها عبر التحديث الأمني الصادر في 10 يونيو 2026. ويبقى من غير الواضح ما إذا كان الهجوم الأخير يعتمد على ثغرة جديدة كلياً أم يستغل متجهات هجوم معروفة مسبقاً.
بررت المجموعة هجومها بأنه رد على تقرير أمني صدر عن مكتب التحقيقات الفيدرالي في مايو 2026 يوثق أنشطتها، حيث أمهلت المكتب أسبوعاً لتصحيح التقرير أو حذفه. ورغم نفيها وجود أي دافع مالي أو ابتزازي، تضمنت تصريحاتها تهديدات مبطنة بنشر البيانات، ورفضت تقديم إجابة قاطعة حول نواياها المستقبلية بشأن التسريب.
يذكر أن المتخصصين يصنفون ShinyHunters كمجموعة ابتزاز مالي، وتعرف لدى Mandiant وفريق استخبارات التهديدات في جوجل بالمعرف UNC6240. وللمجموعة سجل باستهداف أكثر من 400 منظمة وارتباطات سابقة بمنصة BreachForums.
