O grupo de extorsão cibernética ShinyHunters adicionou mais um alvo de alto perfil à sua lista de vítimas: o Conselho da Europa, organização internacional de direitos humanos com sede em Estrasburgo, na França. Os criminosos afirmam ter invadido os sistemas da instituição, roubando mais de 297 GB de dados. O ataque, segundo o grupo, foi realizado através da exploração de uma falha crítica no Oracle PeopleSoft, a mesma vulnerabilidade que vem sendo usada em uma campanha maciça contra organizações ao redor do mundo nas últimas semanas. O Conselho da Europa confirmou que está investigando o incidente, mas não forneceu detalhes adicionais sobre a extensão do dano.
O escopo do vazamento: RH, folha de pagamento e dados médicos
De acordo com a publicação feita no site de extorsão do ShinyHunters, o ataque ao Conselho da Europa comprometeu cerca de 429 mil arquivos. O grupo alega que o pacote de dados roubados inclui uma vasta gama de informações sensíveis, como registros completos de recursos humanos e folha de pagamento, holerites, ordens de compra e currículos de funcionários. Ainda mais grave, os criminosos afirmam ter acesso a dados salariais, informações bancárias, registros fiscais e prontuários médicos dos colaboradores da instituição. Até o momento, a Oracle não se pronunciou oficialmente sobre o incidente, e não há informações se a vulnerabilidade explorada já foi corrigida em seus sistemas.
figurefigurefigurefigurefigurefigure
O calcanhar de Aquiles: a falha crítica CVE-2026-35273 no Oracle PeopleSoft
O ShinyHunters tem se aproveitado de uma vulnerabilidade de gravidade máxima no Oracle PeopleSoft, um sistema de gestão empresarial amplamente adotado por universidades e grandes corporações. A falha, registrada como CVE-2026-35273, recebeu uma nota 9,8 em 10 na escala de gravidade. A característica mais perigosa dessa vulnerabilidade é permitir que um invasor execute comandos arbitrários no servidor sem a necessidade de qualquer autenticação ou interação da vítima. Basta que o sistema esteja acessível pela internet para que o ataque seja desferido.
Pesquisadores do Google confirmaram que a campanha de invasões utilizou essa falha como uma zero-day, ou seja, foi explorada antes mesmo que a Oracle tivesse lançado uma correção oficial. Para camuflar suas atividades e invadir os sistemas, os criminosos empregaram programas de controle remoto disfarçados de ferramentas legítimas da Microsoft Azure. Segundo as próprias alegações do ShinyHunters, mais de 100 organizações, distribuídas em cerca de 300 sistemas diferentes, foram comprometidas através desse mesmo vetor. Uma das primeiras vítimas confirmadas foi a Universidade de Nottingham, no Reino Unido, que teve dados de aproximadamente 454,6 mil estudantes e ex-alunos expostos.
Recorrência no setor educacional: de Nottingham a instituições globais
O ataque ao Conselho da Europa não é um caso isolado, mas sim parte de um padrão de comportamento do ShinyHunters, que tem mirado com frequência o setor educacional. Em maio, a empresa de tecnologia educacional Instructure, dona da plataforma de aprendizado Canvas, confirmou ter pagado um resgate ao grupo. Na ocasião, os criminosos acessaram dados de 275 milhões de estudantes, professores e funcionários. Já em março, o grupo atacou a Infinite Campus, fornecedora de software para escolas de ensino fundamental e médio. Como a empresa não pagou o resgate, o ShinyHunters publicou dados de cerca de 137 mil pessoas, incluindo e-mails, nomes, telefones e endereços.
figurefigurefigurefigurefigurefigure
O que esperar: novas vítimas e o rastro da exploração
Um relatório do Google, divulgado no início do mês, identificou atividade maliciosa ligada à exploração da falha do PeopleSoft entre os dias 27 de maio e 9 de junho. A gigante das buscas notificou mais de 100 organizações ao redor do mundo cujos sistemas apresentavam sinais de vulnerabilidade. A maioria delas está localizada nos Estados Unidos, e impressionantes 68% são instituições de ensino superior. Como o próprio ShinyHunters afirma que ainda não divulgou os nomes da maioria de suas vítimas, é quase certo que novos casos, como o do Conselho da Europa, venham a público nos próximos dias e semanas, demonstrando o poder de fogo e a persistência de uma campanha que já se tornou uma das maiores ameaças cibernéticas do ano.
