Le indagini sull’accesso non autorizzato al sito FBIjobs.gov sono ancora in corso. Intanto “saltano le prime teste”, come si dice in questi casi. Reuters ha ricevuto la conferma che Accenture non è più un fornitore dell’FBI. La multinazionale irlandese non ha installato la patch per correggere la vulnerabilità sfruttata dal gruppo ShinyHunters, quindi il contratto è stato annullato.
La patch era disponibile da giugno
Il sito FBIjobs.gov, usato per raccogliere le candidature degli aspiranti agenti, è basato sulla piattaforma PeopleSoft di Oracle. L’accesso al server è stato effettuato dal gruppo ShinyHunters sfruttando una vulnerabilità zero-day del software, successivamente indicata con CVE-2026-35273. L’FBI ha confermato a fine settembre il furto dei dati di tutti i dipendenti. All’inizio del mese è stato arrestato un membro della gang.
Un funzionario senior dell’FBI ha confermato che un’azienda di terze parti non ha applicato la patch al software che gestisce. Questa è la dichiarazione ufficiale di Brett Leatherman (Cyber Chief dell’FBI):
La nostra indagine ha stabilito che l’incidente è stato causato da una falla nella sicurezza di una piattaforma gestita da un fornitore esterno, dopo che quest’ultimo ha omesso di installare una patch di sicurezza rilasciata specificamente per proteggere la piattaforma. Di conseguenza, l’FBI ha annullato il contratto con il fornitore e adottato tutte le misure necessarie sia per mitigare ulteriori rischi sia per tutelare il proprio personale.
Non vengono specificati i nomi della piattaforma e del fornitore, ma secondo le fonti di Reuters sono Oracle PeopleSoft e Accenture, rispettivamente. Google aveva avvisato della campagna estorsiva avviata da ShinyHunters sfruttando la vulnerabilità zero-day di PeopleSoft. Lo stesso giorno (10 giugno), Oracle ha pubblicato un bollettino di sicurezza e rilasciato la patch, specificando che poteva essere sfruttata per l’accesso remoto senza autenticazione.
Installare le patch su server che offrono servizi al pubblico senza interrompere il funzionamento è un’attività molto delicata. Ma un ritardo di oltre tre mesi è stato considerato inaccettabile dall’FBI.
Ti potrebbe interessare
7 ott 2026