ShinyHunters hacken über 100 OrganisationenOracle-Desaster eskaliert weltweit
Eine kritische Zero-Day-Lücke in Oracle PeopleSoft wurde aktiv ausgenutzt – mit CVSS 9.8 und ohne Authentifizierung. Universitäten und Konzerne stehen weltweit unter Beschuss.
Oracle PeopleSoft im Visier
Die bekannte Hackergruppierung ShinyHunters sorgt erneut für Schlagzeilen – und diesmal könnte die Tragweite enorm sein. Laut aktuellen Berichten wurde eine kritische Zero-Day-Sicherheitslücke in Oracle PeopleSoft aktiv ausgenutzt, um weltweit über 100 Organisationen zu kompromittieren. Betroffen sein sollen vor allem Universitäten, Großunternehmen und Institutionen mit sensiblen Personal-, Finanz- und Verwaltungsdaten.
Im Zentrum steht die Schwachstelle CVE-2026-35273 in Oracle PeopleSoft Enterprise PeopleTools. Die Lücke erhält einen CVSS-Score von 9.8 – also praktisch die höchste Gefahrenstufe. Besonders kritisch: Die Angreifer benötigen offenbar keine vorherige Authentifizierung, um Schadcode auszuführen und komplette Systeme zu übernehmen.
Zero-Day mit höchster Gefahrenstufe
Angreifer benötigen keine vorherige Authentifizierung, um Schadcode auszuführen und komplette Systeme zu übernehmen.
Warum dieser Angriff so gefährlich ist
Viele Außenstehende unterschätzen oft, was Systeme wie PeopleSoft überhaupt machen. Dabei laufen darüber häufig zentrale Geschäftsprozesse:
Personalverwaltung
HR-Daten, Verträge, Strukturen
Gehaltsabrechnung
Payroll, Bankverbindungen
Lieferketten
Supplier-Stammdaten, Verträge
Studierende
Notenakten, Immatrikulation
Verwaltungsprozesse
Interne Workflows, Freigaben
Identitäten
Ausweise, Passnummern, PII
Wenn ein Angreifer Zugriff auf solche Systeme erhält, geht es nicht mehr nur um „ein paar Datensätze". Es geht um komplette Organisationsstrukturen.
Universitäten als Hauptziel
Vor allem Universitäten scheinen massiv betroffen zu sein. Laut Analysen stammen rund 68 Prozent der angegriffenen Einrichtungen aus dem Bildungssektor. Und genau dort liegen oft gigantische Mengen personenbezogener Daten:
- Ausweisdokumente
- Adressen
- Telefonnummern
- Gehaltsinformationen
- Forschungsdaten
- Gesundheits- und Behinderteninformationen
Universitäten als Hauptziel
- Bildungssektor (Universitäten, Colleges)68%
- Großunternehmen & Konzerne~22%
- Verwaltung & sonstige Institutionen~10%
University of Nottingham bereits öffentlich geleakt
Besonders brisant ist der Fall der University of Nottingham. Nachdem die Universität offenbar nicht auf Forderungen einging, veröffentlichten die Täter gestohlene Daten auf ihrer Leak-Seite. Laut Berichten sollen etwa 40 Gigabyte sensible Informationen betroffen sein.
sensible Informationen veröffentlicht
~455.000 betroffene Identitäten
Im Leak enthalten:
Das zeigt erneut ein Problem moderner Cyberangriffe: Selbst wenn ein Unternehmen oder eine Institution versucht standhaft zu bleiben, bedeutet das nicht automatisch Schutz für die betroffenen Personen.
Zero-Day bedeutet: Niemand konnte sich vorbereiten
Das eigentlich Beunruhigende an diesem Vorfall ist die Art des Angriffs. Eine Zero-Day-Lücke bedeutet, dass die Schwachstelle bereits aktiv ausgenutzt wurde, bevor Hersteller oder Betreiber überhaupt reagieren konnten. Laut Google sollen die Angriffe bereits zwischen Ende Mai und Anfang Juni erfolgt sein – also vor öffentlicher Bekanntmachung.
Stille Ausnutzung
Zero-Day aktiv im Einsatz
Massen-Kompromittierung
100+ Organisationen weltweit
Disclosure
Oracle & Google veröffentlichen Warnung
Nottingham-Leak
~40 GB Daten öffentlich
Das wirft erneut Fragen auf:
- Wie viele Systeme weltweit laufen noch mit veralteten Enterprise-Versionen?
- Wie viele kritische Verwaltungsplattformen hängen noch direkt am Internet?
- Warum existieren oft keine Netzwerksegmentierungen für HR- und ERP-Systeme?
- Weshalb werden solche Plattformen teilweise über Jahre nicht modernisiert?
Gerade im Bildungs- und Verwaltungssektor laufen häufig Legacy-Systeme, die zwar „funktionieren", aber sicherheitstechnisch längst ein enormes Risiko darstellen.
ShinyHunters entwickelt sich zur globalen Dauerbedrohung
Die Gruppierung ShinyHunters ist längst kein unbekannter Name mehr. Die Bande tauchte bereits bei zahlreichen Großvorfällen auf und wird immer wieder mit Datendiebstahl, Erpressung und großangelegten Leaks in Verbindung gebracht.
In den vergangenen Monaten wurden unter anderem folgende Vorfälle mit der Gruppe in Verbindung gebracht:
- Angriffe auf Cloud- und SaaS-Plattformen
- Datendiebstahl bei großen Konzernen
- Snowflake-bezogene Kampagnen
- Salesforce-Angriffe
- Rockstar-Games-Leaks
- Hochschul- und Bildungsplattformen
- Identitäts- und Kundendaten-Exfiltration
Die Vorgehensweise wirkt dabei zunehmend professionell:
- Initialzugriff
- schnelle Datenexfiltration
- öffentliche Erpressung
- Leak-Drohungen
- Druckaufbau über Medien und Darknet-Portale
Das eigentliche Problem: Alte Enterprise-Systeme
Der aktuelle Vorfall zeigt erneut ein Grundproblem moderner IT-Landschaften. Viele Unternehmen investieren Millionen in moderne Technologien – aber zentrale Verwaltungsplattformen laufen teilweise noch auf uralten Architekturen mit fragwürdiger Absicherung.
Gerade ERP-, HR- und Verwaltungssoftware wird oft nur „irgendwie am Leben gehalten", weil Migrationen teuer und kompliziert sind. Genau diese Systeme werden dadurch jedoch zum Jackpot für Angreifer.
Denn wer Zugriff auf ein ERP- oder PeopleSoft-System bekommt, erhält oft:
- Kronjuwelen der Organisation
- Bewegungsdaten
- Mitarbeiterinformationen
- Berechtigungsstrukturen
- Finanzprozesse
- interne Kommunikationsdaten
Unternehmen sollten jetzt handeln
Wer Oracle PeopleSoft nutzt, sollte spätestens jetzt aktiv werden:
- Alle PeopleSoft-Systeme sofort prüfen
- Externe Erreichbarkeit analysieren
- Logs rückwirkend untersuchen
- Ungewöhnliche HTTP-Anfragen analysieren
- Netzwerk-Segmentierung kontrollieren
- Kompromittierte Konten ausschließen
- Incident-Response-Prozesse aktivieren
Besonders kritisch: Viele Angriffe bleiben unbemerkt, weil die Täter primär Daten stehlen statt zu verschlüsseln. Stille Datenabflüsse werden oft erst Wochen später sichtbar – wenn die Leak-Drohung bereits online ist.
Fazit
Der aktuelle Angriff zeigt einmal mehr, wie gefährlich veraltete Enterprise-Systeme geworden sind. Während viele Unternehmen über KI, Automatisierung und Digitalisierung sprechen, bleiben fundamentale Sicherheitsprobleme im Hintergrund bestehen.
Die Kombination aus:
- Zero-Day-Lücke
- öffentlich erreichbaren Verwaltungsplattformen
- sensiblen Personaldaten
- professioneller Erpressung
…macht diesen Vorfall zu einem der brisantesten Enterprise-Angriffe der letzten Monate. Und vermutlich ist das erst der Anfang.
Schutz vor Zero-Day- & Extortion-Angriffen – mit Wasacon
Wasacon unterstützt Unternehmen im Kreis Heinsberg bei der Härtung von ERP- und HR-Systemen, EDR/XDR-Betrieb, Netzwerksegmentierung und Incident-Response-Plänen gegen Gruppen wie ShinyHunters.
Häufige Fragen
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Mehr aus dem Ransomware- & Extortion-Cluster
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
