ShinyHunters non ha attaccato un’azienda qualsiasi. Nella notte tra lunedì e martedì, il gruppo ha dichiarato di aver compromesso servizi collegati all’FBI e di detenere informazioni personali su tutti i dipendenti e i candidati dell’agenzia. 404 Media ha ricevuto un campione con i dati di 5.000 persone: nomi, indirizzi, numeri di telefono, date di nascita e, in alcuni casi, dettagli sui coniugi. Alcuni numeri verificati tramite OSINT Industries corrispondevano ai nomi indicati nel file. Il sito per le assunzioni dell’FBI è stato defacciato martedì con la scritta «questo sito è stato sequestrato da ShinyHunters», un rovesciamento dei messaggi che l’FBI usa nei sequestri di siti. La stessa pagina segnala che il portale per i candidati è al momento non disponibile.

Il rappresentante del gruppo ha parlato di una vulnerabilità zero-day in Oracle PeopleSoft, da cui sarebbe partito l’accesso ai server AWS GovCloud e il download di un volume stimato tra due e tre terabyte. Non è un dettaglio secondario. AWS GovCloud è la regione cloud destinata ai carichi del governo statunitense, separata dalle regioni commerciali e pensata per vincoli di residenza e controllo. Se la ricostruzione regge, la violazione non è avvenuta al livello dell’infrastruttura, ma nell’applicazione enterprise esposta: una superficie che le certificazioni di conformità non eliminano. Il perimetro di fiducia si sposta dal data center al software applicativo e alla sua catena di fornitura.

La posta in gioco va oltre il furto di identità

Il campione include, secondo ShinyHunters, PII e PHI: dati identificativi e informazioni sanitarie protette su dipendenti attuali, ex dipendenti e candidati. Per un’agenzia di intelligence e contrasto, la perdita di questi dati ha implicazioni di controspionaggio: mappare gli agenti, i familiari e i candidati consente profiling, coercizione e individuazione fisica. Criminali dello stesso ecosistema hanno già usato dati simili per tracciare e intimidire agenti. Se il materiale dovesse circolare, il rischio per le persone e per le attività operative dell’FBI sarebbe diretto, non soltanto reputazionale.

Anche la dichiarazione sulle motivazioni merita lettura. ShinyHunters è noto per attacchi a scopo estorsivo, ma il rappresentante ha negato una logica finanziaria: «quello che intendiamo fare non lo chiamerei estorsione, forse coercizione». Un gruppo che non cerca denaro riduce lo spazio per una mediazione tecnica o negoziale. Per le organizzazioni che gestiscono dati sensibili, questo cambia il profilo della minaccia: non si tratta di cifrare e chiedere un riscatto, ma di conservare materiale da usare strategicamente. È una dinamica più vicina all’operazione di compromissione che al singolo incidente di sicurezza.

Chi valuta architetture on-premise per dati sensibili sa già che l’isolamento fisico non basta: l’incidente mostra che anche un cloud governativo può essere attraversato da una falla applicativa. Su AI-RADAR, gli strumenti analitici su /llm-onpremise aiutano a confrontare i trade-off tra controllo locale, superficie esposta e costi, senza ridurre la scelta a un unico parametro.

Al momento l’FBI non ha risposto. Il dato più duro non è la rivendicazione, ma il campione verificato e la combinazione tra informazioni personali e sanitarie. Se la quantità di dati exfiltrati fosse confermata, il problema non sarebbe contenuto dalla rapidità della risposta, ma dalla difficoltà di ritirare informazioni che sono già fuori controllo.