FBI įdarbinimo svetainės įsilaužimas: kas nutiko ir ko iš to išmokti

„Konfiskuota“ svetainė, Pokémon personažas ir tūkstančių FBI pareigūnų bylos. Bet tikroji šios istorijos pamoka – nuobodi: pataisa buvo išleista. Tik niekas jos neįdiegė.

Įsivaizduokite: viena galingiausių pasaulio kibernetinių nusikaltimų tyrimo agentūrų atsiveria savo karjeros svetainę ir mato ne darbo skelbimus, o didelį ASCII piešinį su Pokémon personažu ir užrašą, kad svetainė „konfiskuota“. Būtent tai 2026 m. rugsėjį nutiko FBI įdarbinimo portalui apply.fbijobs.gov.

Grupuotė ShinyHunters pasinaudojo Oracle PeopleSoft pažeidžiamumu ir pasisavino duomenis apie daugiau nei 5 000 FBI pareigūnų. Kelios dienos prieš tai Nyderlanduose buvo sulaikytas 24 metų vyras, įtariamas padėjęs šiai grupuotei. Tačiau istorija painesnė, nei atrodo: šaltiniai teigia, kad grupuotės viduje vyksta kova dėl valdžios, o ataka prieš FBI galėjo būti sąmoningas bandymas kaltę suversti būtent sulaikytajam.

Verta į šią istoriją pažiūrėti ne kaip į kriminalinį serialą, o kaip į techninį atvejo tyrimą. Nes pažeidžiamumas, kuris atvėrė FBI duris, tuo pačiu metu buvo naudojamas prieš dešimtis kitų organizacijų – universitetus, ligonines, transporto ir žemės ūkio įmones. Tarp jų galėjote būti ir jūs.

Kas nutiko FBI svetainėje

ShinyHunters prisiėmė atsakomybę už įsilaužimą į FBI įdarbinimo svetainę. Vietoje darbo skelbimų apsilankiusieji pamatė vadinamąjį defacement – pakeistą svetainės turinį su žinute: „ši svetainė konfiskuota ShinyHunters“ ir didelį ASCII piešinį su Pokémon personažu Umbreon.

FBI viešas atsakas buvo itin santūrus: agentūra nurodė, kad yra informuota apie pareiškimus dėl neteisėtos veiklos, paveikusios FBIjobs.gov, ir šiuo metu tai tiria. Jokių duomenų apimties ar pobūdžio agentūra nepatvirtino.

Grupuotė savo duomenų nutekinimo svetainėje tvirtino pavogusi 2–3 TB duomenų, o portalas esą buvo tik pirmas žingsnis: pasak jų, per pažeidžiamumą gavę pradinę prieigą, jie pasistūmėjo į FBI valdomą AWS GovCloud infrastruktūrą, kurioje ir buvo laikomi darbuotojų bei kandidatų duomenys. Kaip reikalavimą grupuotė paskelbė ultimatumą: FBI turi atšaukti arba pataisyti 2026 m. gegužę išleistą FLASH pranešimą apie pačių ShinyHunters veiklą. Terminas – viena savaitė.

Kokie duomenys minimi

Pagal žurnalistų apžiūrėtus pavyzdžius, pavogti duomenys yra ypač jautrūs:

• daugiau nei 5 000 pareigūnų socialinio draudimo numeriai (SSN) ir kiti asmens duomenys – apie tai rašė 404 Media;
• kiekvieno asmens pareigos ir komanda – tarp jų specialieji agentai, grėsmių analitikai, kibernetinių nusikaltimų skyriaus darbuotojai ir valstybių remiamų atakų tyrėjai;
• pasak Reuters, tarp dokumentų buvo ir darbuotojų psichiatrinės bei medicininės bylos.

Trečias punktas yra svarbiausias ir nepatogiausias. Duomenys apie tai, kas dirba kontržvalgyboje ar tiria užsienio valstybių remiamus įsilaužėlius, yra aukso kasykla ne tik nusikaltėliams, bet ir priešiškoms valstybėms. Vardas plius pareigos plius medicininė istorija nėra tik privatumo pažeidimas – tai paruoštas šantažo, sekimo ir tikslinės socialinės inžinerijos rinkinys. Ir, skirtingai nei slaptažodį, šių duomenų nepakeisi.

Atakos vektorius: pataisa buvo, tik niekas jos neįdiegė

Ataka pasinaudojo pažeidžiamumu CVE-2026-35273 Oracle PeopleSoft sistemoje. Tai kritinis trūkumas, kurio CVSS vertinimas – 9,8 iš 10: jis leidžia neautentifikuotam užpuolikui nuotoliniu būdu vykdyti kodą serveryje. Kitaip tariant, patekti vidun be jokių prisijungimo duomenų.

PeopleSoft – tai platforma, kurioje organizacijos tvarko įdarbinimą, personalą, išmokas ir atlyginimus. Todėl joje sukaupta koncentruota asmens duomenų masė: gyvenimo aprašymai, asmens kodai, banko sąskaitos, medicininės pažymos. Tai ne „antraeilė“ vidinė sistema. Tai duomenų seifas su svetainės forma priekyje.

Chronologija

• 2026 m. birželis ShinyHunters pradeda naudoti pažeidžiamumą kaip zero-day, t. y. dar nesant jokios pataisos.
• Vasara Oracle išleidžia pataisą. Mandiant paskelbia WAF (žiniatinklio programų ugniasienės) taisykles tiems, kurie negali pataisos įdiegti iš karto.
• Rugsėjo 24 d. Įsilaužėliai randa būdą tas WAF taisykles apeiti, pasitelkę URL kodavimo triuką. Apie tai pranešė BleepingComputer.
• Rugsėjo 25 d. Mandiant ir Google Threat Intelligence Group patvirtina: pažeidžiamumas masiškai išnaudotas dešimtyse organizacijų – aukštajame moksle, technologijų, sveikatos apsaugos, žemės ūkio, transporto ir valdžios sektoriuose.

Kodėl WAF taisyklė nėra pataisa

Palyginkime tai su apsaugininku prie durų. WAF taisyklė – tai apsaugininkas, kuriam duotas įtariamojo aprašymas: „vyras su raudona kepure“. Užpuolikas tiesiog užsideda kitos spalvos kepurę arba ją apverčia. Apsaugininkas neatpažįsta ir praleidžia. O durų spyna – pažeidžiamas kodas – vis dar sulaužyta. Tikra apsauga yra pakeisti spyną, t. y. įdiegti pataisą. Apsaugininkas gali tik nupirkti laiko, kol atvyks šaltkalvis.

Kodėl URL kodavimas apgauna WAF? Todėl, kad tą patį simbolį galima užrašyti keliais skirtingais būdais. Jei WAF tikrina užklausą vienu pavidalu, o programa ją vėliau dekoduoja kitaip, atsiveria spraga tarp to, ką „mato“ sargas, ir to, ką galiausiai gauna programa. Ši klasikinė pažeidžiamumų klasė vadinama normalizavimo neatitikimu (angl. normalization mismatch) ir ji kartojasi dešimtmečius – nuo pirmųjų IIS katalogo perėjimo atakų iki šiandienos.

Praktinė išvada paprasta: kiekvienas filtras, kuris sprendžia pagal teksto atitiktį, o ne pagal galutinę išnormalizuotą reikšmę, yra laikina priemonė. Jei jūsų saugumo modelis remiasi WAF taisyklėmis kaip pagrindine gynyba, jūs neturite gynybos – turite atidėtą problemą.

Areštas Nyderlanduose: kas yra „Umbreon“

Maždaug rugsėjo 16 d. Nyderlandų policija sulaikė 24 metų Pepijną van der Stapą, įtariamą padėjus ShinyHunters vogti duomenis ir reketuoti aukas. Nuo tada jis laikomas areštuotas apklausoms.

Van der Stapas nėra naujokas. 2023 m. jis jau buvo nuteistas: prisipažino, kad slapyvardžiu „Umbreon“ vogė duomenis, reketavo aukas ir pardavinėjo duomenų bazes forumuose RaidForums ir Breached. Prokurorų teigimu, tai jam atnešė 1,5–2,7 mln. eurų. Jis gavo ketverius metus, iš kurių vienerius – lygtinai, ir iš kalėjimo išėjo 2025 m. gruodį.

Ironiška detalė: tuo metu, kai jis veikė kaip „Umbreon“, dieną dirbo programinės įrangos inžinieriumi Amsterdamo kibernetinio saugumo startuolyje ir savanoriavo pažeidžiamumų atskleidimo organizacijoje DIVD. Pats save vadino „Dr. Jekyll ir Mr. Hyde“. 2026 m. rugsėjo 9 d. interviu jis prisistatė kaip pasitaisęs įsilaužėlis, dirbantis puolamojo saugumo srities vadovu. Netrukus po to nustojo atsakinėti į žinutes.

Kaip policija galėjo jį susekti? Viešai žinoma tik tiek, kad Nyderlandų policija prašė visuomenės padėti atpažinti balsą iš 2026 m. vasario telefono skambučio. Tuo skambučiu olandiškai kalbantis ShinyHunters narys apgavo telekomunikacijų operatoriaus „Odido“ darbuotoją ir įtikino jį prisijungti suklastotoje svetainėje. Taip buvo pavogti daugiau nei 6,2 mln. Nyderlandų gyventojų duomenys. Ar policija tą balsą susiejo su konkrečiu asmeniu, neaišku.

Siužeto vingis: piešinys kaip klaidinantis pėdsakas

Svarbiausia chronologijos detalė: įsilaužimas į FBI svetainę įvyko po to, kai van der Stapas jau buvo sulaikytas – maždaug šešiomis dienomis vėliau. Vadinasi, ataką vykdė kiti grupuotės nariai.

Su tyrimu susiję šaltiniai teigia, kad ShinyHunters kontrolę perėmė paauglys iš Amano (Jordanija), žinomas slapyvardžiu „Rey“. Jis siejamas su jungtine grupuote Scattered LAPSUS$ Hunters – Scattered Spider, LAPSUS$ ir ShinyHunters junginiu. Pasak šaltinių, Rey ir van der Stapas ginčijosi dėl ShinyHunters prekės ženklo ir duomenų. Todėl didžiulis „Umbreon“ piešinys FBI svetainėje galėjo būti sąmoningas bandymas nukreipti tyrėjų žvilgsnį į sulaikytą olandą.

Po sulaikymo grupuotė tapo agresyvesnė: be FBI, ji ėmė reketuoti net Rusijos išpirkos reikalaujančių programų grupuotę Cl0p. Konflikto šaknys – bendradarbiavimas su grupe TeamPCP. Mandiant tyrėjai buvo slapta infiltravęsi į TeamPCP ir per debesijos paslaugų tiekėjus panaikindavo grupės pavogtus prisijungimo raktus, todėl tie raktai netikėtai tapdavo beverčiai. Nesuprasdamos, kas vyksta, grupės ėmė kaltinti viena kitą dėl „nutekėjimo“, o ShinyHunters vėliau apskritai ėmė naudoti TeamPCP raktus nesidalydami pelnu.

Čia yra pamoka, kuri retai pasiekia vadovų prezentacijas: atributacija gali būti dalis atakos. Jei planuojate reagavimą į incidentą pagal tai, ką užpuolikas apie save pasakė ar paliko ekrane, planuojate pagal jo scenarijų. Todėl žurnalai ir techniniai įrodymai visada svarbesni už žinutę svetainėje.

Šešios pamokos, kurias verta perkelti į savo organizaciją

1. Pataisa, kuri neįdiegta, nėra apsauga.
Pažeidžiamumų valdymas nesibaigia tuo, kad pataisa egzistuoja. Jis baigiasi tada, kai turite įrodymą, kad ji įdiegta konkrečiame serveryje. WAF taisyklė – tai laikinas tvarstis su aiškiu galiojimo terminu, o ne sprendimas.

2. Žinokite, kas jums „šviečia“ į internetą.
Dauguma organizacijų negali per dieną atsakyti į paprastą klausimą: kiek mūsų sistemų yra pasiekiamos iš viešojo interneto ir kokios jų versijos? Būtent šio sąrašo nebuvimas paverčia kritinį CVE tylia katastrofa. HR ir įdarbinimo portalai čia patenka ypač dažnai, nes juos paprastai reikia atidaryti išorei.

3. Normalizavimo neatitikimas yra kodo, o ne konfigūracijos problema.
Jei jūsų aplikacija priima įvestį, ją dekoduoja, o sprendimus dėl saugumo priima iki dekodavimo, turite tą pačią problemą kaip PeopleSoft. Tokius dalykus atskleidžia kodo peržiūra, o ne skeneris.

4. Vertinkite, ką serveris gali daryti toliau.
Pati įdomiausia FBI atvejo dalis nėra pradinė prieiga – tai pasistūmėjimas į debesijos infrastruktūrą. Paklauskite savęs: jei rytoj kas nors vykdytų kodą jūsų HR serveryje, kokias teises jis paveldėtų kitose sistemose? Į kiek duomenų bazių tas serveris gali prisijungti? Kokius debesijos raktus jame saugote?

5. Žmogus telefonu vis dar yra greičiausias kelias vidun.
6,2 mln. įrašų, prarastų per vieną balso skambutį, yra geriausias argumentas mokymams, kokį galima pateikti. Ir tai nėra „darbuotojų kaltė“ – tai procesų, kurie leidžia vienam žmogui vienu paspaudimu atverti duris, kaltė.

6. Nepasitikėkite užpuoliko pasakojimu apie save.
Piešinys, slapyvardis, manifestas duomenų nutekinimo svetainėje – visa tai gali būti tyčinis klaidinimas. Reagavimo sprendimai priimami pagal telemetriją, ne pagal ASCII grafiką.

Kontrolinis sąrašas: ką patikrinti šią savaitę

Jei jūsų organizacija naudoja Oracle PeopleSoft arba bet kurią kitą išorei atvertą ERP ar HR sistemą, pradėkite nuo šių žingsnių.

1. Įdiekite pataisą, o ne taisyklę. Patikrinkite CVE-2026-35273 statusą kiekvienoje PeopleSoft instaliacijoje atskirai – įskaitant testines ir „laikinas“ aplinkas, kurias visi pamiršta.
2. Prisiimkite, kad galėjote būti pažeisti dar iki pataisos. Pažeidžiamumas buvo naudojamas nuo birželio. Jei pataisą įdiegėte vėliau, jos įdiegimas neišstumia užpuoliko, kuris jau buvo viduje. Ieškokite jo pėdsakų žurnaluose, o ne tikėkitės geriausio.
3. Peržiūrėkite, kas apskritai turi būti viešai pasiekiama. Ar kandidatų portalas tikrai turi būti atviras visam pasauliui? Ar administravimo sąsaja turi būti tame pačiame domene?
4. Apribokite serverio teises. Atskirkite HR sistemos tapatybę nuo kitų sistemų, pašalinkite ilgai galiojančius debesijos raktus ir įsitikinkite, kad iš to serverio negalima pasiekti daugiau nei būtina.
5. Įjunkite ir išsaugokite žurnalus. Be žurnalų negalėsite atsakyti į vienintelį klausimą, kurio paklaus vadovybė ir reguliuotojas: ar duomenys išėjo?
6. Sudarykite duomenų inventorių. Žinokite, kokie asmens duomenys laikomi HR sistemoje – ypač specialiųjų kategorijų duomenys, tokie kaip sveikatos pažymos. Nuo to priklauso BDAR pranešimo pareiga ir jos terminai.
7. Išbandykite balso sukčiavimo scenarijų. Įtraukite skambutį „iš IT skyriaus“ į savo socialinės inžinerijos simuliacijas, o ne tik el. laiškus.

Kaip galiu padėti

Šis incidentas gerai iliustruoja tai, ką matau beveik kiekviename projekte: problema retai yra viena sistema. Problema yra tai, kad niekas neturi pilno vaizdo – kas atverta į internetą, kokia versija veikia, kokias teises tas serveris turi ir ar darbuotojai atpažintų skambutį. Būtent šiuos klausimus padedu atsakyti.

Nežinote, nuo ko pradėti? Dažniausiai atsakymas yra išorinis atakos paviršiaus vertinimas – nes jis parodo, kokių klausimų jums dar net nekilo. Parašykite arba apžiūrėkite visų paslaugų sąrašą.

Išvada

Lengva iš šios istorijos pasidaryti pramoginę: Pokémon piešinys FBI svetainėje, pasitaisęs įsilaužėlis, kuris galbūt nepasitaisė, paauglys iš Amano, perimantis grupuotę, ir tyrėjai, slapta naikinantys nusikaltėlių raktus. Tai puikus siužetas.

Bet techninė šios istorijos dalis yra visiškai nuobodi, ir būtent todėl ji svarbi. Buvo kritinis pažeidžiamumas. Buvo pataisa. Buvo laikinos WAF taisyklės. Buvo trys mėnesiai laiko. Ir vis tiek dešimtys organizacijų – įskaitant vieną, kurios darbas yra tirti būtent tokius įsilaužimus – liko atviros.

Susiję straipsniai: kibernetinis incidentas – ką daryti per pirmą valandą, parą ir mėnesį, ko Revolut duomenų nutekėjimas išmokė mus ir sukčius ir kas laužia įmonių saugumą 2026-aisiais.

Šaltiniai

• Krebs on Security – Dutch Police Arrest „Reformed“ Hacker in Shiny Hunters Investigation
• BleepingComputer – ShinyHunters claims FBI hack, data theft in PeopleSoft zero-day breach
• The Hacker News – ShinyHunters Claims FBI Breach
• TechCrunch – Hacking group ShinyHunters claims it breached the FBI