FBI招聘网站遭网络攻击：第三方供应链与PeopleSoft漏洞成为调查焦点

美国联邦调查局（FBI）正在调查其招聘网站 FBIJobs.gov 遭遇的网络攻击。名为 ShinyHunters 的网络犯罪组织声称已经入侵该平台，并窃取了大量涉及FBI员工及求职者的敏感个人资料。

目前，FBI尚未确认ShinyHunters所声称的数据规模，也尚未确定攻击者究竟是通过FBI自身基础设施，还是通过支持FBIJobs.gov运营的第三方供应商进入系统。

这一事件正在调查之际，也再次凸显了第三方供应链、企业人力资源系统以及广泛部署的软件平台可能成为高价值攻击入口。

FBI：攻击入口尚未确定

FBI周三表示，已经注意到一个网络犯罪组织声称入侵FBIJobs.gov，并声称获取了FBI员工的个人身份信息（PII）。

该机构表示，目前仍无法确定入侵点究竟位于第三方系统还是FBI自身企业基础设施，并正在与负责支持FBIJobs.gov的第三方供应商合作调查。

FBI表示，其调查人员正在采取措施降低进一步风险。

目前，FBIJobs.gov已经暂时离线，网站显示服务不可用。

ShinyHunters声称窃取FBI员工数据

ShinyHunters则声称，其获取了“几乎所有FBI特工以及曾申请加入FBI工作的人员”的敏感资料。

该组织还声称能够访问包括刑事司法（CJ）、人力资源（HR）以及Medlink在内的多个相关服务。

不过，这些说法尚未得到FBI全面证实。

据404 Media报道，ShinyHunters向媒体提供了一批所谓的被盗数据样本，其中包含FBI人员的敏感个人信息。报道指出，样本中的资料与FBI人员有关。

如果相关数据最终被确认来自FBI系统，事件的影响可能不仅限于传统的数据泄露风险。

FBI员工的个人资料可能包含姓名、联系方式及其他能够用于识别个人的信息。对于执法人员而言，这类资料如果被攻击者掌握，可能进一步增加定向网络钓鱼、身份冒用、社会工程攻击以及骚扰等风险。

目前尚无公开证据证明这些风险已经实际发生。

PeopleSoft漏洞成为关键调查方向

ShinyHunters向404 Media表示，其利用Oracle PeopleSoft人力资源平台中的一个所谓“零日漏洞”进入FBI招聘系统。

但这一说法目前仍无法独立确认。

Oracle此前已经披露过PeopleSoft相关安全漏洞。例如，Oracle在今年6月发布了针对CVE-2026-35273的安全公告，而ShinyHunters此前也曾被指利用Oracle相关漏洞发动攻击。

不过，目前尚不清楚此次FBI事件使用的漏洞是否就是该漏洞，或者是否涉及另一个此前尚未公开的漏洞。

因此，目前将此次事件直接定性为“PeopleSoft零日攻击”仍然缺乏足够公开证据。

第三方供应链风险再次受到关注

从网络安全角度来看，此次事件最值得关注的部分之一，是FBI目前正在调查第三方供应商是否构成最初的攻击入口。

现代企业的关键业务系统往往并非完全由内部基础设施构成。招聘、人力资源、身份验证、云服务、客户管理以及数据处理等功能，都可能依赖外部软件和服务供应商。

这意味着，即使组织自身的核心网络受到严格保护，攻击者仍可能通过供应链中的较弱环节获得进入敏感系统的机会。

对于大型机构而言，供应商安全因此不能仅停留在采购阶段的安全问卷或合规认证，还需要持续关注：

• 第三方软件是否及时安装安全补丁；

• 供应商是否拥有访问敏感数据的必要权限；

• 外部账户是否采用多因素身份验证；

• 第三方连接是否受到网络分段和访问控制限制；

• 供应商发生安全事件时是否能够快速通知客户；

• 关键系统是否能够在供应商遭到入侵后迅速隔离。

从漏洞到数据泄露，中间还有多个关键防线

即使攻击者成功利用应用程序或VPN、远程访问设备中的漏洞，也不意味着他们必然能够访问整个组织的数据环境。

真正决定事件影响范围的，还包括漏洞利用后的权限、网络分段、身份验证机制以及横向移动防护。

因此，安全团队需要重点监控攻击者进入初始系统之后的行为，包括异常账户活动、大量数据读取、权限提升以及向外部服务器传输数据等迹象。

FBI此次事件中发现大量文件访问活动，也说明异常数据访问行为检测可以成为发现入侵的重要手段。

对于处理高敏感数据的组织而言，仅依赖外围防御已经不足够。即使攻击者突破了一个面向互联网的应用程序，也需要通过最小权限、网络隔离和持续监控限制其后续行动空间。

目前仍有几个关键问题尚待确认

FBI的调查仍在进行，因此此次事件的完整攻击链尚未公开。

目前仍无法确认的关键问题包括：

第一，攻击者究竟通过哪个系统进入？

FBI尚未确定攻击来自自身基础设施还是第三方供应商。

第二，使用的究竟是什么漏洞？

ShinyHunters声称利用PeopleSoft零日漏洞，但这一说法尚未得到独立确认。

第三，究竟有多少数据被实际窃取？

攻击者声称影响范围非常广泛，但FBI尚未确认这一数据规模。

第四，哪些个人信息已经被实际访问或外泄？

目前公开资料显示存在敏感个人资料样本，但完整数据类型仍在调查。

第五，是否发生进一步的系统入侵？

目前尚无公开信息证明攻击者成功进入FBI其他核心系统。

因此，在调查结果公布之前，对此次事件的影响范围仍应保持谨慎判断。

对企业安全团队的启示

无论最终调查结果如何，此次事件都再次说明，供应链已经成为企业网络安全防御中不可忽视的一环。

对于使用第三方人力资源、身份管理或企业软件平台的组织而言，安全团队不应只关注自身网络边界，也需要了解供应商实际拥有的访问权限以及这些权限能够触及哪些数据。

同时，对于互联网暴露的企业应用，漏洞管理需要与身份安全、网络分段、数据访问监控和事件响应机制结合起来。

一个软件漏洞可能只是初始入口，而真正决定攻击造成多大影响的，往往是攻击者进入之后能够获得什么权限、访问哪些系统，以及组织能否及时发现并阻断后续活动。

FBI此次事件的最终影响仍有待调查结果确认，但其涉及的攻击面——第三方供应链、企业软件漏洞以及敏感人员数据——都是当前企业网络安全团队需要持续关注的风险领域。