L'FBI ha confermato ufficialmente la rescissione del contratto con Accenture, fornitore esterno responsabile della gestione della piattaforma Oracle PeopleSoft utilizzata per il portale FBIjobs.gov. La decisione arriva dopo l'attacco informatico condotto dal gruppo ShinyHunters, che ha sfruttato una vulnerabilità zero-day per accedere ai dati dei candidati e dei dipendenti. La causa scatenante è chiara: la multinazionale irlandese non ha installato la patch di sicurezza resa disponibile da Oracle già a giugno.
La falla e il ritardo fatale
La vulnerabilità, identificata con il codice CVE-2026-35273, consentiva l'accesso remoto ai server senza autenticazione. Oracle ha pubblicato il bollettino di sicurezza e il relativo aggiornamento il 10 giugno, lo stesso giorno in cui Google ha segnalato la campagna estorsiva di ShinyHunters. Nonostante ciò, Accenture ha lasciato la piattaforma esposta per oltre tre mesi, un lasso di tempo che l'FBI ha giudicato inaccettabile. Il Cyber Chief dell'agenzia, Brett Leatherman, ha dichiarato che l'incidente è stato causato dall'omissione nell'installare una patch rilasciata specificamente per proteggere il sistema.
Le indagini sull'accesso non autorizzato a FBIjobs.gov sono ancora in corso, ma le conseguenze contrattuali sono già realtà. La conferma della rescissione è arrivata tramite Reuters, che ha ricevuto una conferma ufficiale da fonti interne all'FBI. Sebbene il comunicato non citi esplicitamente i nomi delle aziende coinvolte, le fonti giornalistiche indicano in Oracle e Accenture i soggetti menzionati. L'FBI ha inoltre precisato di aver adottato tutte le misure necessarie per mitigare ulteriori rischi e tutelare il proprio personale.
Conseguenze e lezioni di sicurezza
L'episodio mette in luce una criticità ricorrente nella gestione delle infrastrutture critiche: l'applicazione tempestiva delle patch di sicurezza. Installare aggiornamenti su server che erogano servizi pubblici senza interruzioni è un'operazione delicata, ma un ritardo di oltre tre mesi rappresenta una violazione grave degli standard di sicurezza. La vicenda è aggravata dal fatto che il gruppo ShinyHunters ha sfruttato una falla già nota e correggibile, trasformando una potenziale vulnerabilità in un data breach su larga scala.
La rescissione del contratto con Accenture segna un precedente significativo: le agenzie governative statunitensi sembrano sempre meno tolleranti verso i fornitori che non garantiscono la sicurezza dei dati sensibili. Resta da capire se l'FBI avvierà ulteriori azioni legali o richiederà risarcimenti per i danni subiti, mentre le indagini proseguono per identificare tutti i responsabili dell'attacco.
