ShinyHunters dice tener los datos de todos los empleados del FBI tras un fallo en PeopleSoft
Un grupo de hackers afirma tener el expediente personal de todos los que trabajan en el FBI, trabajaron allí o alguna vez enviaron una solicitud de empleo. ShinyHunters contó a 404 Media que entró por el sistema de selección de personal de la agencia, sacó entre dos y tres terabytes de una nube gubernamental y el martes alteró el portal de empleo del FBI. No pide dinero. Exige que el FBI retire un aviso público que la propia agencia publicó sobre el grupo, y le ha dado una semana.
El FBI no ha confirmado nada. Lo que se puede comprobar desde fuera es poco, pero existe: el portal de empleo está caído, y los periodistas que vieron una muestra de los datos cotejaron parte de ella con registros públicos.
En resumen
- ShinyHunters habla de 2 a 3 TB extraídos de los sistemas de selección y personal del FBI, con un servidor Oracle PeopleSoft como puerta de entrada.
- 404 Media revisó una muestra de 5000 registros: nombres, domicilios, teléfonos, fechas de nacimiento y datos de cónyuges. Algunos números llevan a personal del Departamento de Justicia.
- No hay rescate. El grupo quiere que el FBI retire en una semana el aviso que publicó sobre ShinyHunters.
- apply.fbijobs.gov y el portal de aspirantes a agente especial devuelven una página de mantenimiento. El FBI, Oracle y AWS no comentan.
Qué dice el grupo que se llevó
«Hackeamos al FBI. Tenemos datos de todos los empleados y de todos los solicitantes», dijo un representante del grupo a 404 Media el 22 de septiembre. Ese mismo representante describió la ruta: una vulnerabilidad de día cero en Oracle PeopleSoft, el software sobre el que la agencia gestiona sus contrataciones, y después un salto a servidores en AWS GovCloud, desde donde se descargaron los datos. En la reivindicación se nombran tres servicios internos: Criminal Justice, Human Resources y Medlink.
La página alterada imitaba el cartel de incautación que la policía coloca en los sitios que cierra: «este sitio ha sido incautado por ShinyHunters», seguido de la afirmación de que todos los datos del FBI quedaron comprometidos, incluida información personal y médica de empleados actuales y antiguos y de todos los solicitantes, y la frase «tenemos mucho más de lo que aquí decimos».
Preguntado por una posible extorsión, el representante dio una respuesta que conviene leer dos veces: «lo que pensamos hacer no lo llamaría extorsión, más bien coacción». Y añadió: «esto no tiene motivación económica». Lo que quiere el grupo es que el FBI retire el aviso público que publicó sobre ShinyHunters, que según ellos contiene afirmaciones falsas. El plazo es de una semana, tras el cual amenazan con publicar.
Qué se sostiene y qué no
Un grupo de extorsión es una mala fuente primaria, y este tiene un interés evidente en parecer más grande de lo que es. Conviene, por tanto, separar la reivindicación de aquello que cualquiera puede verificar.
| La reivindicación | Qué se puede comprobar desde fuera |
|---|---|
| Datos de todos los empleados y solicitantes del FBI | Los periodistas vieron una muestra de 5000 registros. Nadie fuera del grupo ha visto el conjunto completo y no hay listado de archivos. |
| La muestra es auténtica | 404 Media pasó teléfonos de la muestra por OSINT Industries y obtuvo nombres coincidentes, y una segunda herramienta vinculó algunos números con personal del Departamento de Justicia. TechCrunch cotejó por su cuenta parte de los datos con registros públicos. |
| Se exfiltraron entre 2 y 3 terabytes | Solo la palabra del grupo. No se han mostrado tamaños, ni estructura de carpetas, ni ninguna prueba del volumen. |
| Entrada por un fallo desconocido de PeopleSoft | Una captura apunta a una ruta /PSEMHUB/ en apply.fbijobs.gov. Oracle no ha confirmado ningún fallo nuevo y no existe un CVE para él. |
| El portal de empleo fue incautado | En la práctica, sí: apply.fbijobs.gov sirve una página de mantenimiento y el portal de aspirantes a agente especial ha caído con él. |
El agujero de PeopleSoft que hay detrás
PeopleSoft es el paquete de Oracle para nóminas, recursos humanos y expedientes académicos. El componente en cuestión, el Environment Management Hub, nunca se pensó para estar expuesto a internet, y en junio se convirtió en uno de los agujeros más feos del año. CVE-2026-35273 puntúa 9,8 sobre 10: sin inicio de sesión, sin interacción del usuario, basta una petición HTTP para quedarse con el servidor.
- El FBI publica un aviso sobre ShinyHunters en el que describe sus métodos de extorsión y hostigamiento.
- Mandiant situará después en esta fecha el inicio de la explotación del fallo de PeopleSoft.
- Fin de la ventana de ataques reconstruida por Mandiant. Allí siguen al grupo como UNC6240.
- Oracle publica un parche fuera de ciclo para CVE-2026-35273.
- CISA añade el fallo a su catálogo de vulnerabilidades explotadas de forma activa.
- ShinyHunters afirma haber encontrado esa noche un nuevo fallo en PeopleSoft y haberlo usado el mismo día contra el FBI.
- El portal de empleo aparece alterado y después se apaga. El ultimátum se publica en el sitio de filtraciones del grupo.
La campaña de junio no fue menor. Mandiant avisó a más de cien organizaciones de que sus sistemas estaban expuestos, y alrededor del 68 por ciento eran universidades. En una de ellas, la Universidad de Nottingham, la historia terminó con los datos de 455.000 estudiantes publicados en un sitio de filtraciones.
Ese antecedente es lo que vuelve ambiguo el caso del FBI. La captura que compartió el grupo apunta al mismo componente que Oracle parcheó en junio. O hay un segundo fallo ahí dentro, o el servidor de la agencia nunca recibió la actualización de junio. El grupo insiste en que la vulnerabilidad es nueva y no está documentada. Oracle no ha dicho nada en ninguna dirección.
Por qué una base de selección de personal es lo peor que se puede perder
Un sistema de selección suena a armario lleno de currículos. No lo es. Para tramitar a un solo candidato tiene que guardar domicilio, fecha de nacimiento, teléfono particular, familiares de contacto y, para cualquier puesto con reconocimiento médico, datos de salud. Por eso la página alterada menciona información médica y por eso uno de los tres servicios citados se llama Medlink. Una base de recursos humanos contiene más o menos lo que pide una solicitud de pasaporte, también sobre personas que nunca llegaron a ser contratadas.
Para un empleador corriente eso es un problema de privacidad. Para una agencia policial es un problema operativo. 404 Media recuerda que delincuentes de ese mismo entorno ya han usado registros telefónicos robados para localizar, intimidar y acosar a los agentes del FBI que los investigaban. TechCrunch plantea el riesgo en términos de contrainteligencia: una lista de agentes con sus domicilios y los datos de sus cónyuges es justo el material con el que un servicio extranjero presiona a alguien para que colabore. Además es la segunda intrusión conocida en un sistema del FBI este año, después de que atacantes no identificados llegaran a un sistema de gestión de escuchas en tiempo real y órdenes de inteligencia exterior.
Quién más usa PeopleSoft
ShinyHunters dijo a CyberInsider que piensa usar el nuevo fallo contra un abanico de objetivos mucho más amplio. Eso importa mucho más allá de Washington, porque sobre PeopleSoft funcionan las nóminas y los expedientes académicos de universidades, ministerios y grandes empleadores en Europa, América Latina y Asia. La oleada de junio mostró la forma: un centenar de organizaciones en quince días, sobre todo campus, porque los campus mantienen estos sistemas con un equipo pequeño y una interfaz de administración abierta hacia fuera.
El candidato no puede hacer nada al respecto. Si en la última década envió un currículo a una institución grande, su expediente está casi seguro en un sistema de este tipo, nunca le dijeron en cuál, y no puede comprobar si está parcheado.
Qué hacer si su expediente puede estar ahí
El riesgo real para un lector normal no es un servicio de inteligencia extranjero. Es la oleada de phishing bien informado que sigue a cualquier filtración de este tamaño: quien llama conoce a su antiguo empleador, su dirección y su fecha de nacimiento, y con eso suena oficial. Ya contamos con qué rapidez los datos robados de un registro se convierten en requerimientos oficiales falsos, y el patrón no ha cambiado.
- Tratar cualquier mensaje sobre esta filtración como un cebo, incluido el que parezca venir de la propia agencia
- Buscar sus direcciones de correo en Have I Been Pwned y activar los avisos de nuevas filtraciones
- Sustituir los códigos por SMS por una aplicación de autenticación o una llave física en correo y banca
- Pedir a antiguos empleadores y universidades que borren el expediente de candidatura que ya no necesitan
- Buscar su propio número de teléfono en un navegador sin sesión iniciada y ver qué aparece
- Bloquear su historial de crédito si su país lo permite
¿El FBI ha confirmado la filtración?
¿Una VPN habría evitado esto?
Envié una solicitud hace años y me rechazaron. ¿Estoy ahí?
¿Es otra vez la vulnerabilidad de PeopleSoft de junio?
¿Qué pasa cuando acabe la semana?
• 'We Hacked the FBI:' Hackers Say They Have Data on All FBI Employees - 404 Media
• Hacking group ShinyHunters claims it breached the FBI - TechCrunch
• ShinyHunters claims FBI breach via new Oracle PeopleSoft zero-day - CyberInsider
• ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit - Google Threat Intelligence
• Active Exploitation of Oracle PeopleSoft Zero-Day (CVE-2026-35273) - Rapid7
• ShinyHunters Exploits Oracle PeopleSoft Zero-Day to Breach Universities - The Hacker News
• ShinyHunters: Cyber Criminal Group Attacks Learning Management System - FBI IC3
• Scheduled Maintenance Underway - apply.fbijobs.gov
