Olay neydi?

22 Eylül 2026’da ShinyHunters, FBI’ın işe alım portalına (fbijobs.gov ve apply.fbijobs.gov) erişim sağladığını iddia etti. Grup, sitenin görsel yapısını Pokémon temasıyla değiştirdiğini ve FBI ajanlarının, başvuru sahiplerinin ve eski çalışanların kişisel verilerini ele geçirdiğini öne sürdü.

FBI’ın resmî tepkisi aynı gün geldi ama kısaydı: “fbijobs.gov’u etkileyen yetkisiz faaliyet iddialarından haberdarız ve araştırıyoruz.” Ne “evet, hacklendik” ne de “hayır, hacklenmedik” dedi. Ortadaki bu belirsizlik, olayın kendisi kadar önemli.

Başvuru portalları olayın ardından erişime kapalı kaldı. Bu durum gözlemlenebilir olsa da tek başına veri hırsızlığının gerçekleştiğini kanıtlamıyor.

Saldırganların iddiası nedir?

ShinyHunters’a göre hikâye şöyle: Oracle PeopleSoft’ta (FBI’ın insan kaynakları ve işe alım sistemlerinde kullanılan bir yazılım) sıfır gün (zero-day) açığı bulduklarını, bununla uzaktan kod çalıştırma (remote code execution – RCE) elde ettiklerini ve oradan FBI’ın Amazon Web Services (AWS GovCloud) üzerinde barındırılan altyapısına geçiş yaptıklarını iddia ettiler.

The Register’a verdikleri röportajda FBIJOBS dışında PEGA, Medlink, HR ve CJ (Criminal Justice) gibi sistemleri de hedef aldıklarını, toplam 2-3 terabayt veri çektiklerini söylediler. Kendi açıklamalarında “neredeyse tüm FBI ajanlarının” verilerine sahip olduklarını iddia ettiler. Medlink’ten tıbbi kayıtlar, reçeteler, teşhisler ve isimler de elde ettiklerini öne sürdüler.

ShinyHunters’ın FBI sistemlerine nasıl eriştiği ve iddia edilen veri hırsızlığının kapsamı bağımsız olarak doğrulanmış değil. Ancak FBIJobs altyapısında Oracle PeopleSoft kullanıldığı biliniyor.

Olayın arka planında ise FBI’ın Mayıs 2026’da Instructure/Canvas veri sızıntısıyla bağlantılı olarak yayımladığı bir uyarı bulunuyor. FBI, o uyarıda ShinyHunters’ı taciz, tehdit mesajları ve swatting (sahte ihbarla bir adrese silahlı polis ekiplerinin yönlendirilmesini sağlama) gibi yöntemler kullanmakla suçlamıştı.

ShinyHunters bu üç iddiayı reddetti, FBI’a bir hafta süre verip uyarıyı geri çekmesini istedi ve ardından çaldığı iddia edilen verileri yayımlamayacağını, olayın “işini korumak ve dezenformasyonla mücadele etmek için bir pazarlama kampanyası” olduğunu savundu. ShinyHunters ayrıca saldırının finansal amaç taşımadığını ve FBI’ın açıklamalarını geri çekmesini istediklerini öne sürdü.

FBI ne diyor?

FBI’ın kamuoyuna yansıyan açıklaması ise değişmedi: Kurum, iddialardan haberdar olduğunu ve konuyu araştırdığını belirtiyor. FBI, saldırının nasıl gerçekleştiğini, kapsamını veya çalındığı iddia edilen veri miktarını doğrulamadı.

29 Eylül’de FBI Siber Bölümü Yardımcı Direktörü Brett Leatherman bir video yayımlayıp gruba doğrudan seslendi: “Bizi nasıl bulacağınızı biliyorsunuz, biz de sizi nasıl bulacağımızı biliyoruz… Seçim hâlâ sizdeyken önce siz bize ulaşın.”

Bu açıklama, FBI’ın soruşturmayı sürdürdüğünü gösterirken saldırının kapsamına ilişkin yeni bir teknik doğrulama sunmuyor.

FBI’ın söz konusu uyarıyı geri çektiğine ilişkin de bir açıklama bulunmuyor. Federal kurumların tehdit gruplarının baskısıyla uyarılarını geri çekmesi, benzer girişimleri teşvik edebilecek bir emsal oluşturabilir.

Teknik olarak ne biliyoruz?

Burada dikkat çeken teknik bir bulgu bulunuyor: Mandiant’ın 25 Eylül 2026 tarihli takip raporuna atfedilen değerlendirmeye göre, CVE-2026-35273 olarak kayıtlı PeopleSoft açığı için önerilen web uygulaması güvenlik duvarı (WAF) kuralı, istekteki tek bir karakterin URL kodlamasıyla değiştirilmesiyle aşılabiliyor.

Bu bulgu, WAF kurallarının tek başına yeterli koruma sağlamayabileceğini gösteriyor. Ancak ilgili teknik değerlendirmenin özgün kaynağı ve CVE eşleşmesi ayrıca doğrulanmalı.

Bunun FBI’ın kendi ağında tam olarak nasıl işlediği ve AWS GovCloud’a geçişin gerçekten iddia edildiği gibi olup olmadığı FBI ya da Mandiant tarafından kamuoyuna açıklanmış teknik kanıtlarla doğrulanmış değil. Bu kısım hâlâ ShinyHunters’ın öne sürdüğü saldırı zincirine dayanıyor.

Hangi veriler ele geçirildi?

Burada iki katman var.

Birincisi, kısmen doğrulandığı bildirilen veriler: ShinyHunters, 404 Media ve Reuters’a yaklaşık 5.000 kayıtlık bir örnek verdi. Bu kayıtlarda FBI personeline ait olduğu belirtilen isimler, adresler, telefon numaraları ve bazı aile/eş bilgileri bulunuyordu. Haberlere göre örnekteki bazı bilgiler kamu kayıtlarıyla karşılaştırılarak doğrulandı.

Reuters ve BBC’nin ayrıca paylaşılan dosyalar arasında FBI personeline ait olduğu öne sürülen tıbbi ve psikiyatrik değerlendirme belgelerini incelediği belirtiliyor. Ancak bu belgelerin özgünlüğü, kaynağı ve hangi sistemden elde edildiği ayrı ayrı değerlendirilmesi gereken konular.

İkinci katman ise yalnızca saldırganların iddialarına dayanıyor: Toplam 2-3 TB veri, “neredeyse tüm FBI ajanlarının” bilgileri ve birden fazla kurum içi sisteme erişim.

Bu iddiaların tamamı bağımsız olarak doğrulanmış değil. Paylaşılan örneklerde gerçek kişisel bilgilerin bulunması, saldırganların ileri sürdüğü veri miktarının veya erişim kapsamının da doğru olduğunu kanıtlamıyor.