NAIC: Nhóm ShinyHunters khai thác lỗ hổng zero-day Oracle PeopleSoft, chỉ lấy dữ liệu công khai
"The National Association of Insurance Commissioners (NAIC) says ShinyHunters breached its Oracle PeopleSoft environment by exploiting CVE-2026-35273, a zero-day vulnerability, but only accessed or stole publicly available statutory reports, outdated logs, configuration files, and related data. NAIC says there is no evidence of PII or financial data exposure, and that affected systems have been remediated while additional defenses are being implemented."
Tác động chủ yếu liên quan đến rủi ro lộ thông tin do truy cập trái phép, nhưng NAIC nói không có bằng chứng PII hoặc dữ liệu tài chính bị lộ; điểm cần chú ý là việc kẻ tấn công có thể thu thập tệp cấu hình và log lỗi thời để phục vụ tấn công tiếp theo.
Sự cố gây gián đoạn tạm thời cho một số luồng dữ liệu và quy trình nội bộ (ví dụ tạm dừng công việc chỉ định đầu tư), đồng thời phát sinh chi phí khắc phục và tăng cường kiểm soát bảo mật sau sự kiện.
Hiệp hội các Ủy ban Bảo hiểm Hoa Kỳ (NAIC) cho biết nhóm ShinyHunters đã xâm nhập môi trường Oracle PeopleSoft của tổ chức bằng cách khai thác CVE-2026-35273. Theo NAIC, kẻ tấn công chỉ truy cập và/hoặc lấy dữ liệu đã công khai, cùng với log lỗi thời và tệp cấu hình.
NAIC phát hiện sự truy cập trái phép vào ngày 11/6, sau đó ghi nhận “một bên thứ ba trái phép đã truy cập một phần hệ thống CNTT”. Nhóm ShinyHunters sau đó tuyên bố chịu trách nhiệm và công bố dữ liệu bị lấy, sau khi NAIC từ chối yêu cầu tiền chuộc.
Trong quá trình phản hồi, NAIC cho biết điều tra không tìm thấy bằng chứng về việc lộ PII hoặc dữ liệu tài chính, đồng thời bác bỏ các cáo buộc sớm của kẻ tấn công liên quan đến các nền tảng quản lý quan trọng như SERFF, OPTins và SBS. Tuy nhiên, sự cố có tác động vận hành: một số cơ quan xếp hạng tín dụng tạm ngừng luồng dữ liệu và NAIC tạm dừng công việc chỉ định đầu tư.
NAIC khẳng định các hệ thống bị ảnh hưởng đã được khắc phục, đồng thời đang triển khai biện pháp phòng vệ bổ sung để ngăn tái diễn. Tranh chấp vẫn tồn tại giữa số liệu công bố của kẻ tấn công và kết luận của NAIC, bao gồm tuyên bố về khối lượng dữ liệu bị lấy.