Хакеры, заявившие о краже кадровых данных ФБР, могли добраться до людей из одного из самых закрытых подразделений бюро. В массиве обнаружились сотрудники Remote Operations Unit (ROU), команды, которая сама разрабатывает инструменты для взлома компьютеров и мобильных устройств.
ShinyHunters утверждает, что получила сведения о действующих и бывших сотрудниках ФБР, а также кандидатах на работу в ведомстве. Группировка передала журналистам образец примерно из 5000 записей с именами, домашними адресами, телефонами и данными о родственниках. Часть сведений удалось сопоставить с открытыми источниками.
Сама группировка заявляет о краже 2–3 ТБ информации. ФБР 23 сентября подтвердило расследование заявлений о компрометации FBIJobs.gov и возможной утечке персональных данных сотрудников. При этом бюро пока не установило, находилась точка проникновения внутри собственной инфраструктуры или у стороннего подрядчика.
По версии ShinyHunters, вход удалось получить через ранее неизвестную уязвимость Oracle PeopleSoft, которую группировка обнаружила и самостоятельно превратила в рабочий инструмент атаки. Речь идёт об уязвимости нулевого дня, для которой на момент атаки не существовало публичного исправления. Oracle и ФБР такой сценарий пока независимо не подтвердили.
Мотив атаки тоже выглядит необычно. ShinyHunters заявляет, что не требует денег, а добивается изменения опубликованного весной предупреждения ФБР о деятельности группировки. В мае бюро уже предупреждало американские образовательные учреждения об атаках ShinyHunters и связанных с группой методах давления на жертв.
Особенно чувствительной находкой стали записи, связанные с Remote Operations Unit. Подразделение входит в технологический контур ФБР и занимается созданием или приобретением средств для скрытого доступа к чужим устройствам. Публичных сведений о составе ROU крайне мало, хотя само подразделение всплывало в документах Министерства юстиции ещё несколько лет назад.
Опасность такой утечки выходит далеко за рамки обычной компрометации кадровой базы. Связав имена с подразделениями, должностями, домашними адресами, телефонами и родственниками, злоумышленники могут составить карту сотрудников, занятых в наиболее чувствительных операциях. Подобный массив представляет интерес не только для киберпреступников, но и для иностранных разведок.
Именно сотрудники секретного хакерского подразделения оказались среди записей, которые удалось идентифицировать в утечке ФБР. Имена и другие персональные сведения участников ROU журналисты публично не раскрывают.
Полный массив ShinyHunters пока не опубликовала, поэтому заявленный объём и состав украденной информации остаются неподтверждёнными. ФБР продолжает расследование, а главный вопрос сейчас заключается не только в масштабе утечки, но и в том, насколько точно украденные кадровые данные позволяют восстановить внутреннюю структуру и состав закрытых подразделений бюро.
Сам бренд ShinyHunters пережил несколько громких арестов и закрытий подпольных площадок. ShinyHunters продолжает проводить крупные атаки даже после ударов правоохранителей по её участникам и инфраструктуре.
За несколько месяцев до истории с ФБР имя ShinyHunters связывали с другой огромной утечкой. После атаки на образовательную платформу Canvas речь шла о данных до 275 млн человек, причём злоумышленники утверждали, что впоследствии удалили похищенную информацию.
Ситуация выглядит особенно примечательно на фоне собственных технических операций ФБР. В январе 2025 года бюро удалённо взломало 4200 компьютеров в США, чтобы удалить китайский вредонос PlugX. Теперь под угрозой раскрытия оказались люди из структуры, которая специализируется именно на подобных операциях.
