犯罪集団「ShinyHunters」がFBIへの侵入と職員・応募者データの窃取を主張、採用サイトの脆弱性を悪用か

要点

• サイバー恐喝グループ「ShinyHunters」が米連邦捜査局（FBI）のシステムへ侵入し、全職員や採用応募者の機密データを窃取したと主張した。

• 攻撃者はOracle PeopleSoftのゼロデイ脆弱性を悪用してFBIの採用サイトを改ざんしたと述べており、FBI側も調査を進めていることを認めた。

• ShinyHuntersは今回の攻撃について、2026年5月にFBIが自グループの活動に関して出した警告情報への報復であるとしている。

• セキュリティ専門家は、サイバー犯罪集団が公然と法執行機関への侵害を主張する異例の事態であり、深刻な脅威として捉えるべきだと指摘している。

• サイバー恐喝グループの「ShinyHunters（シャイニーハンターズ）」が、米連邦捜査局（FBI）のネットワークに侵入し、現役および過去の職員、さらには採用応募者の個人情報を窃取したとダークウェブ上で主張していることが明らかになった。米メディアの404 Mediaなどが報じたもので、FBIの採用サイトに対する改ざん攻撃も確認されている。これに対しFBIは、採用関連サイトに対する不正アクセスの主張を把握しており、現在事実関係を調査中であるとコメントしている。

職員や応募者の機密データを標的とした犯行声明

ShinyHuntersは2026年9月、自身のダークウェブサイトに声明を公開し、FBIへの不正アクセスに成功したと発表した。声明では、特別捜査官（Special Agent）をはじめとするほぼすべてのFBI職員に加え、同局の採用に応募した人物に関する極めて機密性の高いデータを保持していると主張している。

また、侵害した具体的なシステムとして、刑事司法関連（Criminal Justice: CJ）、人事システム（HR）、医療管理関連（Medlink）などの各種内部サービスを列挙している。

過去の警告情報に対する報復を主張

ShinyHunters側は、今回のサイバー攻撃を行った理由について、FBIが2026年5月に公開した注意喚起（パブリック・サービス・アナウンスメント: PSA）に対する報復であると説明している。当時のPSAでは、ShinyHuntersがオンライン学習管理システム（LMS）の「Canvas」を標的とした攻撃に関与していると指摘し、被害者に身代金を支払わないよう呼びかけていた。

攻撃者グループは独自の対抗声明において、FBIの指摘を「重大な虚偽の申し立て」であると反論した。さらに、名高い法執行機関が自らの活動を妨害する目的で誤情報を流布したことに対して失望したとし、そうした妨害工作は結果として失敗に終わったと主張している。なお、同グループは分散型犯罪組織「The Com」との関連性についても否定しており、情報セキュリティ業界や過去の司法当局者が作り上げたプロパガンダであると切り捨てている。

Oracle PeopleSoftのゼロデイ脆弱性を悪用か

英ITニュースサイトのThe Registerに対し、ShinyHuntersの広報担当者は、業務管理ソフトウェア「Oracle PeopleSoft」の新たなゼロデイ脆弱性（未公開のセキュリティ欠陥）を悪用して遠隔コード実行（RCE）を行い、FBIの採用サイト（FBIjobs.gov）を改ざんしたと説明した。改ざん時には「This site has been seized by ShinyHunters（このサイトはShinyHuntersにより差し押さえられた）」というバナーが表示されていたとされる。

現在、FBIの採用サイト（apply.fbijobs.gov）にアクセスすると「定期メンテナンス中」という案内が表示され、通常利用ができない状態となっている。

なお、事前認証なしで遠隔コード実行が可能なPeopleSoftの新たなゼロデイ脆弱性に関する詳細情報は現時点では公表されていない。しかし、ShinyHuntersは2026年6月にも類似のPeopleSoftの脆弱性（CVE-2026-35273）を兵器化し、企業ネットワークへ侵入して恐喝を行っていた前歴がある。

FBIの対応とグループの最近の活動

ロイター通信への声明において、FBIの広報担当者は「FBIjobs.govに影響を与える不正な活動に関する主張を認識しており、現在調査を行っている」と回答した。

ShinyHuntersは近年、活発な攻撃を展開していることで知られる。今回の事案が表面化する直前にも、著名なランサムウェア組織「Clop（Cl0p）」のダークウェブ上のデータ流出サイトを乗っ取り、多額の身代金を要求する脅迫メッセージを掲示していた。

専門家が指摘する異例の挑発と攻撃手口の変化

クラウドセキュリティ企業Cato Networksの脅威インテリジェンス担当バイスプレジデントであるエタイ・マオール（Etay Maor）氏は、今回の主張について「法執行機関とサイバー犯罪グループの対立において極めて挑発的な動きであり、決して軽視できない」と述べている。

マオール氏は、国家を背景に持つハッカー集団が法執行機関や政府機関を侵害した事例（2015年の米人事管理局（OPM）への大規模侵害など）は過去にも存在するものの、金銭目的のサイバー犯罪ブランドが公然とFBIへの侵入を主張するケースは極めて異質であると分析している。

また、同氏が着目する運用の手がかりとして、グループの声明に記録された「9月23日」というタイムスタンプがある。米国で本件の第一報が出たのは9月22日であったことから、もしこのタイムスタンプが攻撃者の実際の活動環境を反映しているとすれば、アジア圏での活動を示唆している可能性があるという。決定的な特定ではないものの、技術的証拠と合わせて捜査対象となる重要な要素とされている。

さらにマオール氏は、ShinyHuntersがこれまでに法執行機関からの摘発やフォーラムの差し押さえ、関係者の逮捕などを経験しながらも、手口を柔軟に変化させて新たな実行犯を惹きつける強靭な犯罪ブランドとして生き残っている点を指摘した。

近年の同グループの手口は、従来の技術的なネットワーク境界を突破するだけでなく、企業のヘルプデスクに対するソーシャルエンジニアリング（人間の心理的な隙を突く手口）、不正なOAuthアプリケーションの作成、盗まれたSaaS連携トークンの悪用など、信頼された認証経路を悪用するアプローチに重点を置いている。同氏は、公的機関を含むすべての組織が、攻撃者が標的とするアイデンティティ管理やサードパーティとの信頼関係を保護する必要があると警鐘を鳴らしている。