Un Pokémon negru cu inele galbene a apărut marți, 22 septembrie, pe pagina prin care FBI își recrutează viitorii agenți. Sub el, un mesaj anunța că site-ul fusese „confiscat”. De obicei, FBI e cel care afișează astfel de anunțuri pe serverele infractorilor, așa că de data aceasta rolurile s-au inversat.
Grupul de hackeri ShinyHunters susține că a pătruns pe 21 septembrie 2026 în sistemele FBI printr-o vulnerabilitate necunoscută din Oracle PeopleSoft și că a copiat între 2 și 3 terabyți de date despre angajați și candidați. Presa a primit un eșantion cu circa 5.000 de înregistrări. FBI spune doar că investighează, iar atacatorii cer retragerea unui raport publicat în mai.
Povestea a fost reconstituită pe 24 septembrie de Cryptology.ro, site de știri și analize crypto în limba română, în articolul Grupul ShinyHunters susține că a furat datele a 5.000 de agenți FBI. Redacția a pus față în față relatările publicațiilor 404 Media, Reuters, Protos și BleepingComputer cu documentele oficiale apărute până acum, iar din faptele adunate reiese mai degrabă o răzbunare făcută în văzul lumii decât un jaf clasic.
Ce au revendicat hackerii și ce s-a putut verifica
Până acum s-a confirmat doar că o parte din eșantionul trimis presei conține date reale. Breșa în sine, la amploarea anunțată de hackeri, nu a fost confirmată de nimeni.
Cele 5.000 de nume trimise jurnaliștilor
Un reprezentant al grupului le-a scris jurnaliștilor de la 404 Media că ShinyHunters deține informații despre toți angajații și candidații FBI. Ca dovadă, a trimis un fișier cu nume, adrese, numere de telefon și date de naștere, iar în unele cazuri și detalii despre soțul sau soția angajatului. Protos adaugă că în fișier s-ar afla și numere de asigurare socială, plus informații despre misiunile agenților.
404 Media a verificat câteva dintre numerele de telefon cu instrumente de căutare în surse deschise și a găsit persoane cu aceleași nume. Reuters a identificat, în cel puțin zece cazuri, angajați FBI reali care corespund datelor din fișier, printre ei chiar directorul biroului, Kash Patel. Agenția de presă a precizat însă că nu poate spune dacă informațiile au fost luate din sistemele interne ale FBI. O adresă corectă poate proveni la fel de bine dintr-o scurgere mai veche sau din bazele de date ale brokerilor de informații.
Cât a recunoscut FBI
Un purtător de cuvânt a transmis doar că instituția are cunoștință de afirmațiile privind o activitate neautorizată pe FBIjobs.gov și că le investighează. Pe drumul de la o redacție la alta, un detaliu și-a schimbat autorul. Unele publicații au pus explicația tehnică a atacului pe seama FBI, deși în textul original al 404 Media ea venea de la hackeri. Diferența contează. Una e ca agenția să recunoască pe unde a intrat atacatorul, alta e ca atacatorul să își povestească singur isprava.
Cum spun atacatorii că au intrat în sistemele FBI
Potrivit grupului, poarta de intrare a fost o vulnerabilitate zero-day din Oracle PeopleSoft, prin care au rulat cod de la distanță pe un server al FBI și au ajuns apoi în infrastructura AWS GovCloud, unde erau stocate datele. BleepingComputer, publicația care a primit cele mai multe detalii, precizează că nu a putut verifica nimic independent.
Un zero-day este un defect pe care producătorul programului încă nu îl cunoaște, așa că nu există nici reparație pentru el. Gândiți-vă la un model de interfon montat în mii de blocuri, care se deschide la o combinație de taste despre care nici fabricantul nu știe. PeopleSoft este suita cu care organizațiile mari își administrează personalul, salariile și recrutările, adică locul în care o instituție ține aproape tot ce știe despre oamenii ei.
Același program, a doua oară anul acesta
Dacă afirmațiile se confirmă, ar fi al doilea atac al grupului prin PeopleSoft în 2026. Mandiant și Google Threat Intelligence Group au documentat o campanie desfășurată între 27 mai și 9 iunie, în care a fost exploatată vulnerabilitatea CVE-2026-35273, cu un scor de gravitate de 9,8 din 10. Google a alertat atunci peste 100 de organizații expuse, iar 68% dintre ele erau universități și colegii. De data aceasta, hackerii spun că au exploatat un defect nou, pe care l-ar fi descoperit luni și l-ar fi întors aproape imediat împotriva FBI. Oracle nu a confirmat existența lui.
Un raport din mai, motivul declarat al atacului
ShinyHunters prezintă atacul ca pe o răzbunare pentru un avertisment publicat de FBI și cere ca documentul să fie corectat sau retras în termen de o săptămână. Grupul insistă că nu urmărește bani.
Documentul în cauză este anunțul emis pe 15 mai 2026 prin IC3, centrul FBI pentru reclamații privind criminalitatea informatică, după atacul asupra platformei educaționale Canvas. FBI descria acolo grupul drept specializat în furturi masive de date și în extorcare și avertiza că membrii lui își exagerează uneori accesul ca să forțeze plata. Anunțul amintea de amenințări și de cazuri de swatting, adică apeluri false la numărul de urgență care trimit o echipă înarmată la adresa victimei, și recomanda ca nimic să nu fie plătit.
Pentru Mihai Popa, analist la Cryptology.ro, formula aleasă de hackeri, „nu e extorcare, poate constrângere”, ține mai mult de imagine decât de drept. El amintește că articolul 207 din Codul penal român definește șantajul drept constrângerea cuiva pentru a obține pe nedrept chiar și un folos nepatrimonial, faptă pedepsită cu închisoare între unu și cinci ani. A obliga o instituție să retragă un document, sub amenințarea publicării unor date, s-ar încadra exact în acest tipar.
Un termen care expiră la finalul lunii
Ultimatumul expiră în jurul datei de 29 septembrie. Întrebat ce se va întâmpla dacă FBI refuză, reprezentantul grupului a evitat răspunsul. William Wright, directorul firmei Closed Door Security, a remarcat pentru Silicon Republic cât de mult ține grupul la reputație. În extorcarea cibernetică, credibilitatea e un capital, iar un document oficial care spune că atacatorii își umflă prada lovește direct în el.
Un grup care a transformat datele furate în bitcoini
Grupul ShinyHunters este activ cel puțin din 2020, fură baze de date mari și cere apoi bani victimelor, de obicei în criptomonede. Mandiant îl descrie ca pe o emblemă sub care operează mai multe echipe, nu ca pe o organizație cu structură fixă.
Modelul de afaceri s-a văzut limpede în 2024, când grupul a furat date despre aproape toți cei circa 109 milioane de clienți ai operatorului american AT&T. Compania a plătit aproape șase bitcoini, echivalentul a 373.646 de dolari la acel moment, în schimbul promisiunii că informațiile vor fi șterse. În 2026 au urmat aplicațiile de întâlniri Hinge, Match și OkCupid, circa 350 GB copiați de pe Europa.eu, portalul Comisiei Europene, și platforma Canvas. Numele grupului apare și în povestea breșei de la Vercel.
Nici arestările nu l-au oprit. Programatorul francez Sébastien Raoult a fost condamnat în ianuarie 2024 la trei ani de închisoare, iar poliția din Paris a reținut patru tineri în iunie 2025. Cercetătorii au spus atunci că cei prinși erau afiliați, nu conducători, iar faptul că atacurile au continuat pare să le dea dreptate.
Criptomonedele sunt canalul de încasare, pentru că permit transferuri rapide, fără bancă. Anonime nu sunt, fiindcă fiecare plată rămâne înregistrată public pe blockchain. Potrivit raportului Chainalysis din 2026, grupurile de ransomware au încasat în 2025 circa 820 de milioane de dolari, cu 8% mai puțin decât în anul anterior, iar doar 28% dintre victime au plătit. FBI nu va plăti, iar hackerii o știu. De aici și mutarea discursului de la bani la orgoliu.
De ce privește povestea și cititorul din România
Un român obișnuit are șanse foarte mici să figureze în datele FBI, însă metodele grupului lovesc platforme folosite zilnic și de europeni. Datele agenților, odată ajunse la infractori, pun în pericol anchete și familii, iar una dintre mostrele trimise presei ar aparține unui agent din ancheta despre forumul BreachForums.
România a trăit o versiune locală a problemei în februarie 2024, când un atac ransomware asupra furnizorului sistemului Hipocrate a perturbat activitatea a 26 de spitale, potrivit Directoratului Național de Securitate Cibernetică (DNSC). Atacatorii au cerut 3,5 bitcoini, iar DNSC a recomandat să nu se plătească. Ca în scenariul descris de hackeri la FBI, punctul slab a fost un program furnizat de altcineva și folosit de multe instituții deodată.
Pentru omul obișnuit, o scurgere de date ajunge cel mai des sub forma unui SMS care îl strigă pe nume, îi pomenește strada și îi cere o mică taxă de livrare printr-un link. Deținătorii de criptomonede au motive în plus de prudență, pentru că atacatorii caută activ portofele, cum a arătat și virusul TrapDoor, care fură portofele cripto din calculatoarele programatorilor. Nicio firmă serioasă nu vă cere fraza de recuperare a portofelului. Dacă o companie v-a expus datele, GDPR o obligă să anunțe autoritatea de supraveghere în cel mult 72 de ore de la momentul în care a aflat, iar plângerea se depune la ANSPDCP. Incidentele cibernetice se raportează la DNSC, la numărul 1911.
Ce se poate întâmpla după expirarea ultimatumului
Cel mai probabil, FBI nu va retrage raportul, pentru că o agenție care își modifică documentele la cererea celor pe care îi anchetează ar recunoaște că poate fi constrânsă. De cealaltă parte, un grup care trăiește din credibilitatea amenințărilor nu își permite să lase termenul să treacă fără urmări. Dacă noul defect din PeopleSoft există, fiecare zi fără reparație lasă expuse universități și companii mari.
Raportul FBI spunea că ShinyHunters își umflă uneori prada. Dacă breșa se confirmă la amploarea declarată, grupul va fi demonstrat contrariul cât se poate de public. Dacă nu, va fi confirmat exact documentul pe care vrea să-l vadă șters.
