Hackerscollectief ShinyHunters heeft 297 GB aan data gestolen van de Raad van Europa via het kwetsbaarheid in Oracle PeopleSoft. Het zou om 429.000 bestanden gaan.
De hackergroep ShinyHunters claimt meer dan 297 GB data te hebben gestolen van de Raad van Europa door een zero day-lek in Oracle PeopleSoft uit te buiten. De buit omvat bedrijfsgegevens, CV’s en medische dossiers van werknemers. Ook honderd andere organisaties, waaronder de Universiteit van Nottingham, werden getroffen.
De Raad van Europa bevestigt dat het een onderzoek instelt naar de inbraak, maar wil niet verder reageren. ShinyHunters maakt gebruik van het kwetsbaarheid CVE-2026-35273, dat volgens Google tussen 27 mei en 9 juni actief werd misbruikt. De techreus waarschuwde meer dan 100 organisaties wereldwijd, vooral in de VS en de hogeronderwijssector.
Zero day-lek treft wereldwijd organisaties
Volgens ShinyHunters hebben ze meer dan 100 organisaties gecompromitteerd via 300 kwetsbare PeopleSoft-instanties. Naast de Raad van Europa en de Universiteit van Nottingham, waar data van 454.600 studenten uitlekte, waren ook andere onderwijsinstellingen doelwit. Google bevestigde dat 68 procent van de getroffen organisaties actief is in het hoger onderwijs.
Daarnaast trof de groep eerder dit jaar Instructure, de maker van het leerplatform Canvas. Daar werden gegevens van 275 miljoen studenten en medewerkers buitgemaakt. Instructure zou een schikking hebben getroffen met ShinyHunters, wat in de praktijk neerkomt op het betalen van losgeld.
Eerdere aanvallen op onderwijssector
In maart claimde ShinyHunters al data te hebben gestolen van Infinite Campus, een leverancier van software voor K-12-onderwijs. Toen weigerde Infinite Campus te betalen, waarna de groep 137.000 e-mailadressen en andere persoonsgegevens publiceerde. Infinite Campus gaf aan dat de gelekte bestanden vooral namen en contactgegevens van schoolpersoneel bevatten.