Wewnętrzny memo FBI nakazał pracownikom biura przyjęcie założenia, że grupa hakerska ShinyHunters ukradła ich dane osobowe, po rzekomym włamaniu na stronę rekrutacyjną biura, FBIjobs.gov. Zgodnie z memo, o którym w tym tygodniu informowały Reuters i Axios, FBI wychodzi z założenia, że dane każdego pracownika mogły zostać przejęte.

Grupa przypisująca sobie włamanie twierdzi, że posiada dane na temat niemal wszystkich agentów FBI oraz wszystkich, którzy kiedykolwiek aplikowali do FBI. Wartość łupu szacuje na 2–3 terabajty, obejmujące imiona i nazwiska, numery telefonów, adresy domowe, a w niektórych przypadkach także dane małżonków. Jeśli relacja grupy jest zgodna z prawdą, szkody wykraczają poza czynnych agentów: według jej własnego opisu w plikach mogłyby się znaleźć wszystkie osoby, które kiedykolwiek aplikowały do FBI. FBI oświadczyło, że prowadzi dochodzenie i nie potwierdziło skali włamania.

Według grupy włamanie rozpoczęło się w nocy z poniedziałku na wtorek, a we wtorek 22 września odwiedzający stronę zobaczyli baner informujący, że została przejęta przez ShinyHunters, jak podał Gizmodo. Grupa twierdzi, że dostała się do środka przez wcześniej nieznaną lukę w Oracle PeopleSoft, oprogramowaniu używanym przez wiele organizacji do zarządzania zasobami ludzkimi. Badacze bezpieczeństwa nazywają taki błąd zero-day: to luka nieznana producentowi i jeszcze niezałatana. Ponieważ PeopleSoft obsługuje systemy HR w wielu organizacjach, ta teza — jeśli zostanie potwierdzona — miałaby znaczenie dla pracodawców daleko wykraczcych poza FBI. FBI nie potwierdziło ani metody, ani skali rzekomej kradzieży.

Grupa twierdzi, że impulsem był komunikat FBI. W majowym komunikacie z 15 maja biuro ostrzegało, że ShinyHunters stosuje nękanie, w tym groźby wobec członków rodzin ofiar, a w niektórych przypadkach swatting — fałszywe wezwanie pogotowia, które wysyła uzbrojonych policjantów pod czyjeś drzwi. Grupa kwestionuje taki opis. Dała biuru tydzień na wycofanie ostrzeżenia.

ShinyHunters to nie nowość. Grupa pojawiła się w 2020 roku, sprzedając skradzione bazy danych na hakerskich forach, i pomagała prowadzić jedno z największych z nich, BreachForums. W ubiegłym roku twierdziła, że pozyskała około 1,5 miliarda rekordów klientów Salesforce, popularnej platformy do zarządzania danymi klientów.

Wtedy FBI odpowiedziało. Szef dywizji cyber Brett Leatherman opublikował 29 września wideo na X, gdy kończył się tygodniowy termin wyznaczony przez grupę na wycofanie komunikatu. Wskazał na aresztowanie w Holandii z 15 września i powiedział hakerom "wiemy, jak was znaleźć", wzywając ich, by nawiązali kontakt pierwsi. Grupa twierdzi, że aresztowany mężczyzna nie ma z nią nic wspólnego.

FBI pitches ShinyHunters on cooperating: "You know how to find us, and we know how to find you. I suggest you reach out first while the choice is still yours. pic.twitter.com/LP90fjlsnO

— Ken Klippenstein (@kenklippenstein) September 29, 2026

https://x.com/kenklippenstein/status/2104963948848074979?ref_src=twsrc%5Etfw

ShinyHunters później oświadczyła, że ultimatum było kampanią marketingową i że nie planuje publikować danych. Memo nakazuje też pracownikom spodziewać się wideokonferencji informacyjnych i czujność wobec podejrzanych SMS-ów lub połączeń z nieznanych numerów — co jest zgodne z majaowym ostrzeżeniem biura, że grupa nęka swoich celów.

Dlaczego adres domowy miałby aż takie znaczenie? Ponieważ skradzione dane rzadko pozostają tylko na ekranie. Jeśli dane zostaną opublikowane, a pracownicy zostaną ujawnieni (doxxing), personel może zostać zastraszony lub fizycznie skrzywdzony, przypadki kradzieży tosamości mogą wzrosnąć, a krewni zidentyfikowanych pracowników FBI również mogą być zagrożeni.

Kryptowaluty już pokazały ten schemat. Coinbase poinformował, że przekupieni pracownicy wsparcia wyciekli dane klientów w ubiegłym roku, a firma następnie otrzymała żądanie okupu w wysokości 20 milionów dolarów. Na kwiecień Francja odnotowała 135 kryptowalutowych "wrench attacks" od 2023 roku i postawiła zarzuty 88 podejrzanym. W jednej sprawie sprawcy, którzy pobili parę przed ich mieszkaniem w Nancy, mieli podobno pozyskać ich dane ze styczniowego wycieku w Waltio, francuskiej platformie podatkowej kryptowalut, która ujawniła dane około 50 000 użytkowników.

Tygodniowy termin wyznaczony przez hakerów minął, a ShinyHunters twierdzi, że nie opublikuje danych. Memo, zgodnie z doniesieniami, nakazuje pracownikom wychodzić z surowego założenia: ich dane już wyciekły.