Группировка ShinyHunters заявила, что скомпрометировала серверы PeopleSoft более чем у 100 организаций, и заметная часть жертв, по ее словам, это университеты. Для тех, кто отвечает за HR-, payroll- и административные системы, взлом Oracle PeopleSoft звучит не как очередная новость из ленты, а как напоминание: массовые атаки снова бьют не по «экзотике», а по вполне обычному корпоративному ПО, которое годами живет в инфраструктуре и редко попадает в центр внимания до инцидента.
Об атаке сообщает TechCrunch со ссылкой на участника ShinyHunters; ранее об этих взломах написал BleepingComputer. По словам самих злоумышленников, они получили доступ к PeopleSoft-серверам более чем у сотни организаций. Речь идет о платформе Oracle для расчета зарплат, управления персоналом, административных процессов и других бэк-офисных задач. Если заявление подтвердится, это не локальный эпизод и не история про один неудачно настроенный сервер, а типичная для 2026 года массовая кампания: находишь слабое место в распространенном продукте и масштабируешь атаку сразу на десятки жертв.
ShinyHunters утверждает, что среди похищенных данных есть сведения о студентах, абитуриентах, финансовой помощи, иммиграционных кейсах, медицинской и административной информации. В сообщении, которое, по словам хакера, отправили одной из жертв, отдельно перечислены домашние адреса, номера телефонов, e-mail и даты рождения студентов. Это важная деталь: PeopleSoft часто воспринимают как скучный «внутренний комбайн» для кадровиков и бухгалтерии, но по факту в таких системах лежит концентрат персональных данных и операционной информации. Для атакующих это удобная цель: ценность данных высокая, а уровень внимания со стороны команд разработки и продуктовых подразделений обычно заметно ниже, чем у клиентских сервисов.
Есть и еще один неприятный штрих. Представитель ShinyHunters сказал, что многие из атакованных учебных заведений уже компрометировали в более ранних, не связанных между собой кампаниях. Иначе говоря, часть организаций, вероятно, живет в режиме постоянного догоняющего реагирования: один инцидент закрыли, второй не заметили, третий пришел через соседний слой инфраструктуры. Для университетов это особенно болезненно. У них длинный хвост легаси-систем, сложные права доступа, сезонные пики нагрузки и масса пользователей с разным уровнем цифровой гигиены. На таком фоне PeopleSoft превращается из «приложения для бэк-офиса» в очень удобную точку входа и очень дорогой актив одновременно.
Контекст здесь тоже показательный. TechCrunch прямо пишет, что ShinyHunters остается одной из самых заметных и продуктивных киберпреступных группировок и не сбавляет темп. Их привычная схема проста и поэтому эффективна: искать уязвимость в популярном программном обеспечении, чтобы одним заходом получать много жертв. Это плохая новость не только для вузов. PeopleSoft исторически используют крупные компании, образовательные структуры и организации с тяжелым административным контуром. То есть ровно тот сегмент, где обновления, пересмотр архитектуры и вывод старых систем из периметра редко происходят быстро и без политических согласований.
Отдельно выделяется мотив, который сами злоумышленники описали TechCrunch. По словам собеседника издания, изначальной целью было скомпрометировать PeopleSoft-сервер ФБР и разместить там заявление о том, что ShinyHunters не имеет отношения к волне ложных вызовов силовиков, о которой ФБР предупреждало в прошлом месяце. Эта попытка, как утверждается, не удалась. Проверить такую мотивацию со стороны сложно, и относиться к ней стоит скорее как к элементу самопрезентации хакеров. Но даже в таком виде история многое говорит о текущем ландшафте: кибергруппы все чаще работают не только ради данных и денег, но и ради управления публичной повесткой, собственной репутацией и давления через медиа.
Oracle на запрос TechCrunch не ответила. Для заказчиков это, пожалуй, самая неприятная часть любой подобной новости: в первые часы у рынка почти всегда больше заявлений атакующих, чем подтвержденных технических деталей от вендора. А значит, безопасность приходится строить не вокруг комфортной формулы «подождем официальный advisory», а вокруг менее приятной: «считаем, что риск реален, пока не доказано обратное». Если у компании или вуза в инфраструктуре есть PeopleSoft, полезные вопросы звучат предельно приземленно. Открыт ли сервер наружу. Какие версии используются. Когда в последний раз проверяли журналы доступа и аномальные выгрузки. Есть ли сегментация между PeopleSoft и остальными системами с персональными данными. Кто и как контролирует сервисные учетные записи, интеграции и устаревшие каналы обмена данными.
Для русскоязычной IT-аудитории здесь нет экзотики и нет повода прятаться за аргументом «это история про американские университеты». Массовые кампании против корпоративного ПО редко уважают географию, а легаси-HR- и ERP-системы существуют везде, где есть большая организация, сложная структура и длинная память инфраструктуры. Взлом Oracle PeopleSoft в исполнении ShinyHunters пока описан как заявление самой группировки, а не как подтвержденный Oracle инцидент, но уже этого достаточно, чтобы пересмотреть отношение к «внутренним» системам. Главный вопрос теперь не в том, действительно ли одна группа добралась до сотни серверов, а в том, сколько компаний по-прежнему считают старый административный контур второстепенным, пока он не становится главной новостью недели.