il caso

Perché il data breach all’FBI è un problema di sicurezza internazionale

L’attacco all’FBI via PeopleSoft rivendicato da ShinyHunters porta oltre il perimetro del classico data breach: l’esposizione di dati su agenti, candidati e familiari degli operatori può alimentare doxxing, frodi mirate e operazioni di intelligence ostile. E intanto si indaga per capire le dimensioni dell’accaduto

Pubblicato il 24 set 2026

Maria Beatrice Versaci

Junior Analyst Hermes Bay S.r.l.

Chiedi all'AI

Riassumi questo articolo

Approfondisci con altre fonti

Aggiungi tra i preferiti su Google

Nomi, indirizzi di residenza, Social Security number, incarichi e informazioni sui familiari di agenti e dipendenti dell’FBI sarebbero finiti nelle mani di ShinyHunters, un gruppo di cybercriminali specializzato in estorsione informatica, attivo almeno dal 2020. Il gruppo, il 22 settembre 2026 ha rivendicato un’intrusione nei sistemi del Bureau, sfruttando una vulnerabilità zero-day di Oracle PeopleSoft. La rivendicazione al momento è verificata solo in parte e molti elementi restano ancora da dimostrare, a partire dall’origine effettiva dei dati.

Ciò che già emerge, però, è sufficiente per inquadrare il problema in una prospettiva diversa da quella con cui si guarda al consueto data breach. Quando le informazioni sottratte riguardano persone impegnate in attività particolari quali quelle investigative e di intelligence, infatti, il danno non si esaurisce nel potenziale furto di identità né tantomeno nella frode: quei dati possono alimentare doxxing, coercizione, spear phishing e, nel caso peggiore, vere e proprie operazioni di intelligence ostile.

Come la super-app russa Max può diventare strumento di controllo: lo studio

Indice degli argomenti

L’attacco all’FBI via PeopleSoft: i fatti accertati

I fatti, per come sono noti a oggi, sono presto riassunti. Il gruppo sostiene di aver scoperto la vulnerabilità nella notte del 21 settembre, di averla sfruttata per ottenere l’esecuzione di codice da remoto su un server dell’infrastruttura di reclutamento, di essersi poi spostato verso ambienti AWS GovCloud gestiti dall’FBI e di aver sottratto tra 2 e 3 terabyte di dati^[1]. Il portale delle candidature apply.fbijobs.gov è stato deturpato e successivamente messo offline.

BleepingComputer, che ha raccolto le dichiarazioni degli attaccanti, precisa di non aver potuto verificare né la zero-day, né i movimenti laterali, né il volume dei dati^[2] e l’FBI, dopo una prima dichiarazione in cui si limitava a confermare un’indagine su attività non autorizzate relative a FBIJobs.gov, ha spiegato il 23 settembre che il punto di compromissione non è ancora stato individuato, potendo trattarsi dei propri sistemi o di quelli di soggetti terzi, e che è in corso una stretta collaborazione con i fornitori che supportano il portale^[3].

Il campione dei dati e il problema dell’origine

Il punto di partenza, volendo delineare una breve analisi del rischio relativa all’evento, è il campione diffuso dal gruppo, che contiene informazioni personali ricondotte a circa 5.000 individui. Reuters ha confrontato parte dei record con le banche dati dei credit bureau e con archivi di precedenti violazioni conservati dalla società di intelligence District 4 Labs, trovando corrispondenze in almeno dieci casi, incluso quello del direttore dell’FBI; un’altra fonte ha inoltre confermato la coerenza di alcune descrizioni degli incarichi. L’agenzia di stampa non è però riuscita a stabilire da dove provengano i dati^[4].

L’identificazione dell’origine dei dati, che è fondamentale sul piano investigativo, lo è però meno su quello del rischio. Per chi viene esposto conta poco se l’indirizzo pubblicato sia stato estratto direttamente dai server dell’FBI o ricomposto a partire da violazioni precedenti: l’elemento rilevante è che oggi quell’indirizzo è associato, in un unico dataset, al nome e all’incarico di un agente federale americano. Secondo alcune ricostruzioni il campione includerebbe anche date di nascita, numeri di telefono e contatti di emergenza^[5], mentre nel messaggio lasciato sul portale il gruppo sosteneva di detenere anche informazioni sanitarie di dipendenti ed ex dipendenti^[6].

I dati dell’FBI e il rischio controspionaggio

È qui che si inserisce il concetto di effetto mosaico. Nessuno dei singoli elementi, preso isolatamente, è necessariamente riservato. Un indirizzo può essere estrapolato da un registro immobiliare, un numero di telefono da una vecchia violazione, il nome del coniuge da un profilo social. Il valore nasce dall’aggregazione, perché un record che collega identità, residenza, ruolo professionale e rete familiare consente di passare dalla semplice informazione alla capacità operativa.

A partire da quel nucleo, un analista con competenze avanzate di OSINT può arricchire il profilo in tempi brevi incrociando fonti aperte, data broker commerciali e archivi di violazioni già in circolazione, fino a ricostruire abitudini, spostamenti ricorrenti e frequentazioni. Il dataset rivendicato da ShinyHunters offrirebbe questo nucleo iniziale per migliaia di persone contemporaneamente.

Doxxing e minacce alle famiglie

Il primo rischio, il più immediato, è il doxxing. La pubblicazione degli indirizzi privati di personale impegnato in indagini sensibili espone gli interessati e le loro famiglie a molestie, intimidazioni e, nei casi più gravi, a minacce fisiche. Il precedente citato da Cynthia Kaiser, già dirigente della divisione cyber dell’FBI, è eloquente: dati provenienti da una fuga del 2016 vengono ancora oggi utilizzati, occasionalmente, per molestare agenti^[7].

Non va dimenticato, inoltre, che l’avviso pubblicato dall’FBI a maggio attribuiva proprio a ShinyHunters l’uso di telefonate e messaggi minacciosi rivolti a vittime e familiari e, in alcuni casi, il ricorso allo swatting, ossia l’atto di contattare i servizi di emergenza per far intervenire un reparto speciale armato a casa di una persona innocente^[8].

Il gruppo contesta questa descrizione. Resta il fatto che la minaccia di esporre le famiglie degli agenti è, nei fatti, lo strumento di pressione scelto per chiederne la rettifica. C’è anche chi, tra gli esperti del settore, ha osservato che gli indirizzi di agenti e coniugi potrebbero diventare pubblici nel giro di pochi giorni qualora la minaccia venisse portata a termine^[9].

Spear phishing, vishing e candidati esposti

Il secondo rischio è meno visibile. Informazioni accurate sull’incarico, sull’ufficio di appartenenza e sui familiari permettono di confezionare campagne di spear phishing e di ingegneria sociale estremamente credibili. Un messaggio che cita correttamente il ruolo del destinatario, il nome del coniuge o l’esito di una procedura interna supera con facilità i filtri cognitivi che normalmente proteggono da una comunicazione sospetta. Lo stesso vale per il vishing, reso ancora più efficace dalla diffusione di strumenti di clonazione vocale basati sull’AI.

I candidati rappresentano, in questo scenario, un bersaglio particolarmente esposto. Chi ha inviato una domanda all’FBI e attende di essere ricontattato per i colloqui è naturalmente predisposto a rispondere a un’email o a una telefonata che sembri provenire dall’ufficio reclutamento, magari con la richiesta di caricare documenti o confermare dati personali. Il rischio, in altri termini, non si ferma alla prima esposizione ma genera nuove raccolte di informazioni.

Il valore dei dati per il controspionaggio

Il terzo livello riguarda il controspionaggio. Si pensi al valore che un elenco di agenti federali corredato di incarichi, indirizzi e legami familiari avrebbe per un servizio di intelligence straniero. Consentirebbe di mappare chi lavora nelle unità dedicate al controspionaggio o alla sicurezza nazionale, di individuare persone potenzialmente avvicinabili, di valutare vulnerabilità personali ed economiche, di riconoscere un investigatore quando si presenta sotto altra veste. Allo stesso modo, un’organizzazione criminale potrebbe usarlo per identificare chi la sta indagando.

È un rischio che non richiede di attribuire a ShinyHunters finalità di spionaggio. Basta considerare che un dataset di questo tipo, una volta sottratto, sfugge al controllo di chi lo ha rubato e può essere venduto, ceduto o semplicemente copiato da altri attori. Le stesse dichiarazioni del gruppo sull’assenza di un movente economico andrebbero lette con prudenza: secondo alcuni analisti, sia i dati sia l’exploit, se reale, avrebbero un valore considerevole sul mercato^[10].

Il precedente dell’Office of Personnel Management

Il precedente più istruttivo, in questo senso, resta la violazione dell’Office of Personnel Management scoperta nel 2015, quando furono sottratti i dati di circa 21,5 milioni di persone contenuti negli archivi delle indagini di sicurezza. Tra questi figuravano 1,8 milioni di soggetti che non avevano presentato alcuna domanda, per lo più coniugi o conviventi dei richiedenti^[11].

Quell’episodio ha mostrato come i familiari diventino parte della superficie di esposizione anche senza avere alcun rapporto diretto con l’amministrazione, e come il valore strategico di questi dati non si esaurisca in pochi mesi. Un Social Security number non si cambia. Un indirizzo di residenza si cambia con difficoltà, e il nome di un figlio non si cambia affatto. È per questo che le misure di tutela offerte allora furono estese anche ai figli minorenni degli interessati.

PeopleSoft e FBI: la plausibilità tecnica dell’attacco

Sul piano tecnico, la rivendicazione è plausibile. Il Privacy Impact Assessment relativo a FBIJobs.gov e al Candidate Gateway, approvato nel settembre 2022, descrive un sistema basato su Oracle PeopleSoft HRS 9.2, Oracle Database e Drupal, che raccoglie dati sensibili dei candidati come nome, data di nascita e Social Security number e che si integra con diversi sistemi HR, tra cui HR Source, residente su FBINet, la rete protetta dell’agenzia, tramite una Cross Domain Solution accreditata^[12]. La documentazione non dimostra che l’architettura sia rimasta invariata nel 2026. Dimostra però che PeopleSoft e dati personali ad alta sensibilità appartenevano allo stesso ecosistema.

A ciò si aggiunge un precedente specifico: tra il 27 maggio e il 9 giugno 2026 Google Threat Intelligence Group e Mandiant hanno documentato una campagna attribuita a UNC6240, cluster associato a ShinyHunters, che sfruttava come zero-day la vulnerabilità CVE-2026-35273 del componente Environment Management di PeopleTools, con punteggio CVSS 9,8, e che ha portato Google a notificare oltre cento organizzazioni potenzialmente esposte, il 68% delle quali appartenenti all’istruzione superiore^[13].

Oracle aveva pubblicato il relativo Security Alert il 10 giugno^[14]. Il gruppo sostiene ora di aver usato una falla diversa, per la quale non esistono al momento né un identificativo CVE né conferme del produttore.

ShinyHunters e la possibile estorsione

Quanto al movente dichiarato, ShinyHunters afferma di non chiedere denaro ma la rettifica o il ritiro dell’avviso pubblicato dall’Internet Crime Complaint Center il 15 maggio, concedendo all’FBI una settimana e rifiutandosi di chiarire cosa farà dei dati in caso contrario^[15]. La contropartita è reputazionale, ma la logica rimane quella della data extortion. Ed è proprio questa logica a rendere il rischio difficile da circoscrivere nel tempo, perché la leva resta attiva finché il gruppo, o chiunque altro entri in possesso dei dati, ha interesse a utilizzarla.

Come contenere i rischi dell’attacco via PeopleSoft

Le contromisure, di conseguenza, dovrebbero muoversi su due piani. Il primo riguarda le persone. Notifica tempestiva agli interessati, blocco del credito e monitoraggio dell’identità estesi ai familiari, verifica della presenza dei propri dati presso i data broker e richiesta di rimozione, monitoraggio dei canali del cybercrime per intercettare eventuali pubblicazioni.

Ma anche sessioni di sensibilizzazione mirate, che spieghino ad agenti, candidati e famiglie quali tentativi di contatto aspettarsi e come verificarli attraverso canali indipendenti, e briefing di controspionaggio per il personale che ricopre ruoli più esposti. Il secondo piano riguarda l’organizzazione.

Chi gestisce PeopleSoft dovrebbe applicare le indicazioni emerse dalla campagna di giugno, disabilitando dove possibile l’Environment Management Hub, bloccando l’accesso esterno agli endpoint PSEMHUB e analizzando i log WebLogic alla ricerca di richieste anomale^[16]. Più in generale, occorre ridurre al minimo i dati personali conservati nei sistemi esposti al pubblico, separare le informazioni dei candidati da quelle del personale in servizio e verificare quali percorsi colleghino l’ambiente HR alle reti interne e al cloud.

L’attacco all’FBI come allarme per l’Europa

Il tema, infine, è di rilievo anche per il contesto europeo e, di conseguenza, italiano. Amministrazioni, forze di polizia, università e aziende che operano in settori strategici utilizzano piattaforme HR analoghe, spesso affidate in tutto o in parte a fornitori esterni. Il GDPR impone di valutare il rischio per i diritti degli interessati e, quando è elevato, di comunicare la violazione direttamente alle persone coinvolte, mentre la direttiva NIS2, recepita con il decreto legislativo n. 138 del 2024, include la sicurezza della catena di approvvigionamento tra le misure obbligatorie di gestione del rischio.

La dichiarazione dell’FBI sul possibile coinvolgimento di terze parti mostra perché questo aspetto non possa essere trattato come un adempimento formale. Una buona pratica, per gli enti che impiegano personale in ruoli sensibili, è considerare i dati anagrafici e familiari di quel personale come un asset da proteggere al pari delle informazioni classificate, perché sono proprio quei dati, e non i documenti riservati, a costituire spesso il primo anello di un’operazione ostile.

Se la catena d’attacco rivendicata verrà confermata, la lezione tecnica riguarderà la segmentazione tra applicazioni esposte e infrastrutture interne. La lezione di più lungo periodo, però, riguarda le persone. Server e credenziali si ripristinano in giorni o settimane, le vulnerabilità vengono corrette. Nomi, indirizzi e legami familiari di chi lavora nella sicurezza, una volta entrati negli archivi del cybercrime, continuano a circolare per anni, e il loro valore per chi intende colpire, intimidire o reclutare non diminuisce con il passare del tempo.