Хакери зламали сайт ФБР і заявили про викрадення даних агентів

У вівторок сайт для пошуку роботи у Федеральному бюро розслідувань США зазнав дефейсу – його головну сторінку замінили повідомленням від хакерського угруповання ShinyHunters. Про це пише Gizmodo.

Що сталося із сайтом ФБР?

На сторінці з'явився напис про те, що сайт нібито "захоплений ShinyHunters". Група заявила, що отримала доступ до персональної інформації співробітників ФБР, зокрема домашніх адрес, номерів телефонів та даних про членів їхніх сімей.

На власному сайті витоків даних і в повідомленнях журналістам представники угруповання стверджували, що мають інформацію "майже про ВСІХ агентів ФБР і людей, які подавали заявки на роботу у ФБР". Представник ShinyHunters заявив виданню 404 Media: "Ми зламали ФБР. Ми маємо дані про всіх співробітників і кандидатів".

Водночас масштаб заявленої атаки поки не підтверджений самим ФБР. Представники бюро повідомили, що знають про заяви щодо несанкціонованої активності, яка торкнулася FBIjobs.gov, і проводять розслідування.

До вівторка після обіду фальшивий банер із сайту прибрали. Водночас Apply.fbijobs.gov і портал для кандидатів на посаду спеціального агента залишалися недоступними.

ShinyHunters також залишили на зламаній сторінці повідомлення, що "у нас набагато більше, ніж ми тут заявляємо". Наприкінці хакери написали "Дякуємо за увагу до цього питання" – фразу, яка нагадує типовий стиль завершення дописів президента США Дональда Трампа в соцмережах. За словами угруповання, атака почалася в понеділок увечері.

Які дані могли опинитися у хакерів?

ShinyHunters передала частини нібито викраденого масиву даних кільком редакціям, серед яких 404 Media, Reuters і BleepingComputer.

Більший зразок, який вивчили 404 Media та Reuters, містив інформацію приблизно про 5 000 людей, яких угруповання називає співробітниками ФБР. У таблицях були вказані адреси, номери телефонів, дати народження, а в окремих випадках – інформація про подружжя.

Журналісти змогли підтвердити справжність частини інформації. 404 Media зіставило деякі номери телефонів з іменами людей, зазначеними поруч із ними. Інші номери вже були пов'язані зі співробітниками Міністерства юстиції США в архіві старих витоків даних, що стосувався четвертого округу.

Reuters додатково перевірило імена, адреси та номери соціального страхування за базами кредитних бюро та тим самим архівом старих витоків. Журналісти отримали щонайменше 10 збігів, серед яких, за даними видання, був директор ФБР Кеш Патель.

Водночас ці перевірки не доводять, що хакери справді отримали доступ до всієї кадрової системи ФБР або викрали інформацію безпосередньо з актуальних баз бюро. Reuters не змогло встановити походження файлу. Залишається невідомим, чи була інформація отримана з діючих систем ФБР, чи могла бути сформована з даних попередніх витоків.

Саме це є одним із ключових питань розслідування. Наявність справжніх персональних даних у зразку ще не означає, що ShinyHunters отримали доступ до всіх систем, про які заявляють.

Чого вимагають ShinyHunters від ФБР?

ShinyHunters заявляє, що метою атаки не є отримання грошей. Коли 404 Media запитало представників угруповання про можливе вимагання викупу, вони назвали свої дії не "вимаганням", а "примусом".

"Це не має фінансової мотивації", – заявив представник групи.

На сайті витоків ShinyHunters дали ФБР один тиждень, щоб виправити або видалити травневий звіт, який хакери вважають таким, що містить "неправдиві звинувачення" щодо їхньої діяльності. Йдеться про повідомлення від 15 травня, опубліковане Центром скарг на інтернет-злочини ФБР. Воно з'явилося після атаки ShinyHunters на платформу Canvas компанії Instructure під час випускних іспитів.

У травневому попередженні ФБР заявляло, що ShinyHunters використовує "реальні або перебільшені твердження про доступ" до даних жертв, щоб чинити на них тиск.

Бюро також зазначало, що учасники угруповання можуть використовувати переслідування як частину атак, зокрема надсилати погрозливі повідомлення та телефонувати жертвам і членам їхніх сімей. У деяких випадках, за даними ФБР, йшлося про свідомі хибні виклики поліції за адресами жертв, відомі як swatting.

ShinyHunters заперечує зв'язок із такими атаками, а також свою причетність до The Com та заяви про володіння компрометувальними фотографіями або відео для подальшого шантажу.

У коментарі Axios угруповання заявило, що "низькокваліфіковані зловмисники" використовують назву ShinyHunters. The Register група повідомила, що хоче, аби ФБР "виправило або відкликало свої заяви, які містили суттєві неправдиві звинувачення". При цьому хакери не пояснили, що саме зроблять із викраденими даними, якщо ФБР відмовиться виконати їхню вимогу.

Як ShinyHunters нібито проникли в системи?

Представник угруповання розповів 404 Media, що для атаки нібито використали раніше невідому вразливість у програмному забезпеченні Oracle PeopleSoft.

За версією ShinyHunters, через неї зловмисники отримали шлях до хмарної інфраструктури Amazon GovCloud, після чого могли завантажити від 2 до 3 ТБ даних. Пізніше представник угруповання розповів PCMag іншу деталь: нібито саме сайт вакансій ФБР став початковою точкою проникнення, після чого хакери змогли переміщатися між різними сервісами та базами даних бюро.

"Ми змогли переміщатися між різними сервісами та отримати доступ до різних сервісів і баз даних ФБР. Ми завантажили все", – заявив представник ShinyHunters.

Однак ця версія поки не підтверджена ФБР, Oracle або Amazon. За інформацією джерела Politico, станом на вівторок слідчі також не підтвердили твердження про вразливість PeopleSoft. BleepingComputer повідомило ще про одну заяву угруповання. Хакери нібито знайшли другу вразливість у PeopleSoft і вже використовують її для атак на інших жертв, серед яких можуть бути великі компанії зі списку Fortune 500. Це твердження також залишається непідтвердженим.

Документ із вимогами на сайті ShinyHunters адресований директору ФБР Кешу Пателю та Бретту Літерману, помічнику директора кіберпідрозділу бюро.

Чому витік адрес агентів може бути небезпечним?

Персональні дані співробітників правоохоронних органів становлять особливу цінність для зловмисників. Йдеться не лише про можливість крадіжки особистості. Домашні адреси, телефони та інформація про родичів можуть використовуватися для переслідування самих агентів і членів їхніх сімей.

Синтія Кайзер, колишня високопоставлена співробітниця кіберпідрозділу ФБР, яка нині працює в компанії Halcyon, розповіла Axios, що атака безпосередньо на ФБР може призвести до залучення додаткових ресурсів для пошуку нападників. Кайзер також пояснила Reuters, чому сам факт крадіжки персональних даних залишається проблемою навіть у випадку, якщо метою ShinyHunters було лише змусити ФБР змінити публічні заяви.

Вона нагадала про старий витік 2016 року, дані з якого досі використовуються для переслідування агентів. "Після того як ця інформація викрадена, її використовують назавжди", – сказала Кайзер. ShinyHunters уже має історію масштабних атак на компанії та публікації викраденої інформації. Серед відомих випадків – витік даних компанії із захисту особистості Aura після її відмови заплатити викуп, заяви про продаж інформації 70 мільйонів абонентів AT&T та схема вимагання, пов'язана з даними користувачів Pornhub Premium.

Масові витоки персональних даних стають постійною проблемою

Атака на ФБР відбувається на тлі серії масштабних витоків персональної інформації у 2026 році.

На початку вересня один із магазинів у даркнеті виставив на продаж понад 153 мільйони сканів водійських посвідчень громадян США та Канади. Серед них, за повідомленнями, були документи, пов'язані з державними службовцями. Інший інцидент стосувався Polymarket. Виявлена цього тижня вразливість, за повідомленнями, могла дозволяти зловмисникам використовувати номери соціального страхування для доступу до вже створених облікових записів.

Наслідки подібних витоків виходять за межі онлайн-шахрайства. Для власників криптовалют викрадення персональних даних може створювати ризик фізичних атак. Зловмисники дедалі частіше намагаються отримати доступ не лише до цифрових активів, а й безпосередньо до їхніх власників.

У випадку ФБР ситуація має додатковий вимір через характер роботи людей, чиї дані могли опинитися у відкритому доступі. Водночас станом на 23 вересня 2026 року бюро продовжує розслідування, а повний масштаб можливого проникнення та походження оприлюдненого масиву даних залишаються невстановленими.