🗓️ Contexte

Source : BleepingComputer, publié le 9 octobre 2026. Le directeur du FBI Kash Patel a annoncé l’arrestation d’un nouveau suspect lié au groupe d’extorsion ShinyHunters, dans le cadre de l’enquête sur la violation des systèmes du FBI via la plateforme FBIjobs.gov.

🎯 Incident principal

Le groupe ShinyHunters a revendiqué avoir compromis les systèmes du FBI en exploitant une vulnérabilité zero-day dans Oracle PeopleSoft, avant de se déplacer latéralement vers l’infrastructure AWS GovCloud gérée par le FBI. Les attaquants affirment avoir exfiltré entre 2 et 3 To de données, incluant :

  • Informations sur les employés actuels et anciens du FBI
  • Dossiers de candidats à l’emploi
  • Dossiers médicaux et psychiatriques
  • Adresses personnelles, numéros de sécurité sociale
  • Informations sur les membres de la famille des employés
  • Affectations professionnelles sensibles

Un mémo interne du FBI indique que l’agence a considéré que tous les employés étaient potentiellement affectés.

👤 Arrestations et actions judiciaires

  • Nouveau suspect : citoyen canadien arrêté en Pennsylvanie, identifié comme co-conspirateur principal (nom non divulgué)
  • 15 septembre : arrestation aux Pays-Bas de Pepijn van der Stap (alias « Umbreon »), 24 ans, à Amsterdam — ShinyHunters a nié toute association
  • Rey (alias Saif al-Din Khader) : détenu en Jordanie, coopère avec le FBI et les agences internationales

🔍 Signes de désorganisation du groupe

  • Le représentant principal de ShinyHunters a cessé de répondre sur Telegram et son compte a été supprimé
  • Un affilié ayant connaissance du hack FBI a fermé son compte de messagerie
  • Le site de fuite de données du groupe est passé hors ligne, avant qu’un nouveau site soit lancé

🛠️ Techniques et modes opératoires de ShinyHunters

  • Exploitation de zero-days (Oracle PeopleSoft)
  • Mouvement latéral vers des environnements cloud (AWS GovCloud)
  • Vishing ciblant des comptes SSO (Okta, Microsoft, Google)
  • Device code phishing pour voler des tokens d’authentification Microsoft
  • Compromission de sociétés d’intégration tierces pour accéder aux environnements SaaS connectés
  • Extorsion-as-a-service pour d’autres acteurs malveillants

🏢 Victimes notables associées à ShinyHunters

Salesforce, Google, Cisco, PornHub, Match Group, Instructure Canvas, organisations liées aux attaques Snowflake, PowerSchool, forum Breached v2.

📰 Nature de l’article

Article de presse spécialisée relatant une opération de police en cours contre le groupe ShinyHunters, avec un historique des actions judiciaires et des modes opératoires du groupe.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1021 — Remote Services (Lateral Movement)
  • T1566.004 — Phishing: Spearphishing Voice (Initial Access)
  • T1528 — Steal Application Access Token (Credential Access)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1567 — Exfiltration Over Web Service (Exfiltration)
  • T1486 — Data Encrypted for Impact (Impact)

🟡 Indice de vérification factuelle : 55/100 (moyenne)

  • ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
  • ✅ 7503 chars — texte complet (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 8 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ✅ acteur(s) identifié(s) : ShinyHunters (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/fbi-arrests-another-suspected-shinyhunters-hacker-after-agency-breach/