Ordinateurs · 24/09/2026

Le groupe ShinyHunters affirme avoir piraté le FBI via une faille zero-day d'Oracle PeopleSoft

Le groupe de cybercriminels ShinyHunters affirme avoir exploité le 22 septembre 2026 une faille zero-day non corrigée d'Oracle PeopleSoft pour s'introduire dans les systèmes du FBI, revendiquant le vol de 2 à 3 téraoctets de données touchant environ 38 000 employés et candidats.

Transparence : cette page peut contenir des liens affilies ou sponsorises. Les recommandations restent editoriales.

Le groupe de cybercriminels ShinyHunters affirme avoir exploité le 22 septembre 2026 une faille zero-day non corrigée d'Oracle PeopleSoft pour s'introduire dans plusieurs systèmes du FBI, revendiquant le vol de 2 à 3 téraoctets de données touchant environ 38 000 employés actuels, anciens et candidats.

Le site de recrutement du FBI défiguré avec un logo Pokémon

ShinyHunters a publié des captures d'écran montrant le site FBIjobs.gov défiguré avec son logo représentant le Pokémon Umbréon, accompagné du message « ce site a été saisi par ShinyHunters, on pirate vos systèmes depuis 2019 ». Le site affiche désormais un message de maintenance.

Systèmes RH, justice pénale et infrastructure AWS GovCloud visés

Le groupe affirme avoir eu accès aux systèmes de justice pénale, de ressources humaines, au service médical interne Medlink ainsi qu'à une partie de l'infrastructure AWS GovCloud du FBI — un périmètre qui, si confirmé, dépasserait largement le seul site de recrutement.

Le FBI confirme enquêter, sans confirmer l'ampleur du vol

Le FBI a réagi en déclarant être « conscient des allégations concernant une activité non autorisée affectant FBIjobs.gov et mener actuellement une enquête », sans toutefois confirmer explicitement si des systèmes ont été compromis ou si des données ont réellement été dérobées.

Une faille encore non documentée publiquement chez Oracle

ShinyHunters affirme avoir exploité un produit PeopleSoft d'Oracle via une vulnérabilité inédite, mais aucun identifiant CVE ni avis de sécurité officiel d'Oracle n'a encore été publié au moment de la rédaction, ce qui empêche toute vérification technique indépendante de la faille revendiquée.

Notre avis

Entre l'affirmation du groupe et la confirmation officielle, l'écart reste large : le FBI n'a confirmé qu'une enquête en cours, pas l'authenticité des données ni l'ampleur réelle de l'intrusion — une prudence habituelle mais qui laisse, pour l'instant, la version de ShinyHunters largement invérifiable de l'extérieur.