Le FBI a retiré un prestataire après avoir conclu qu’une défaillance de sécurité sur une plateforme gérée par un tiers avait contribué à une fuite de données concernant des milliers d’employés. Selon l’agence, un correctif explicitement publié pour sécuriser le système n’avait pas été appliqué.
Reuters a identifié le prestataire comme Accenture et la plateforme comme Oracle PeopleSoft, utilisée pour le portail de recrutement du FBI. L’agence elle-même n’a pas publiquement nommé ces organisations dans sa déclaration.
ShinyHunters revendique l’intrusion
Le groupe ShinyHunters affirme avoir exploité PeopleSoft pour accéder au portail d’emploi du FBI et voler des informations personnelles. Un échantillon attribué aux attaquants contenait des données relatives à environ 5 000 employés, notamment coordonnées et certaines informations familiales.
Les attaquants ont associé leur accès à CVE-2026-35273. Mandiant estime qu’ils peuvent contourner une règle de pare-feu applicatif grâce à une technique d’encodage d’URL visant l’endpoint vulnérable PSEMHUB.
Pourquoi un WAF ne remplace pas le correctif
Une règle de filtrage peut réduire temporairement l’exposition, mais elle dépend de la manière dont l’URL est interprétée à chaque étape. Une variante d’encodage peut créer une différence entre ce que voit le pare-feu et ce que traite l’application.
La correction de l’application supprime la vulnérabilité à la source. Lorsqu’un éditeur publie un correctif critique, les organisations doivent le tester et le déployer dans un délai adapté au risque, y compris sur les plateformes exploitées par un prestataire.
La gouvernance des tiers en question
- définir contractuellement les délais de correction selon la criticité ;
- exiger une preuve du déploiement et non une simple déclaration ;
- inventorier les services exposés et leurs versions ;
- vérifier les mesures compensatoires jusqu’à l’installation du patch ;
- journaliser les accès des prestataires et les opérations d’administration ;
- prévoir une responsabilité claire en cas d’alerte de sécurité.
Externaliser l’exploitation ne transfère pas entièrement le risque. Le propriétaire des données doit conserver une visibilité suffisante pour vérifier la conformité des opérations, les correctifs et la réponse aux vulnérabilités.
Une enquête encore en cours
Le FBI affirme avoir pris des mesures pour réduire le risque et protéger son personnel. L’agence poursuit également son enquête sur ShinyHunters, tandis que plusieurs membres présumés du groupe ont été arrêtés ou identifiés.
L’incident constitue un rappel sévère : une vulnérabilité connue, un correctif manqué et une dépendance tierce peuvent suffire à exposer une organisation pourtant fortement sécurisée.
