ShinyHunters, arresto shock: falla Oracle PeopleSoft CVE-2026-35273 scatena furti dati ed estorsioni globali

Il gruppo di cybercriminali ShinyHunters è tornato al centro dell’attenzione dopo la notizia del fermo ad Amman, in Giordania, di un adolescente sospettato di avere un ruolo di guida nelle attività di furto dati ed estorsione online. Secondo diverse ricostruzioni investigative, il giovane avrebbe usato il nickname Rey e avrebbe iniziato a gestire o rilanciare il brand ShinyHunters in una fase di forte pressione delle forze dell’ordine, con indagini che coinvolgono anche la collaborazione con FBI per identificare altri membri e affiliati.

Le operazioni attribuite a ShinyHunters nelle ultime settimane mostrano un salto di qualità nella capacità di colpire organizzazioni molto diverse tra loro, sfruttando soprattutto una vulnerabilità in Oracle PeopleSoft identificata come CVE 2026 35273. PeopleSoft è una piattaforma ampiamente adottata per processi HR, assunzioni, benefit e payroll, e proprio questa diffusione la rende un bersaglio ad alto valore per chi cerca accesso iniziale a sistemi aziendali. Dopo la scoperta della falla sono state rilasciate patch e mitigazioni, ma la campagna è proseguita anche grazie a tecniche di bypass basate su URL encoding, capaci di aggirare regole di web application firewall implementate in modo incompleto o tardivo.

Un elemento che ha aumentato l’urgenza delle indagini è il tentativo di estorsione legato a una unità nel settore aviazione e navigazione digitale precedentemente collegata a Boeing e poi ceduta. Le rivendicazioni riguardano dati associati a Jeppesen ForeFlight, realtà specializzata in strumenti e servizi per l’aviazione. In scenari simili la sottrazione di informazioni sensibili non è solo un problema di privacy o reputazione, ma può generare rischi operativi e di sicurezza, soprattutto quando i dati toccano processi critici o catene di fornitura.

Il caso evidenzia anche come ShinyHunters sia diventato nel tempo un marchio sfruttato in modalità franchise, con attori diversi che si alternano o collaborano tramite canali e intermediari. In questo modello gli access broker e gli affiliati possono fornire credenziali o accessi a servizi SaaS e infrastrutture esposte, ottenendo una percentuale su eventuali riscatti. Per le aziende la lezione principale è chiara: patch management rapido, verifica delle mitigazioni WAF, monitoraggio delle anomalie applicative e riduzione della superficie di attacco su piattaforme enterprise come Oracle PeopleSoft sono misure decisive per limitare data breach ed estorsioni.