「我们黑了 FBI」：黑客称掌握全部 FBI 雇员的数据
文章摘要
这是 404 Media 记者 Joseph Cox 于 2026 年 9 月 22 日发布的独家报道，率先披露了黑客组织 ShinyHunters 声称攻破 FBI 的消息。原文开头几段公开，其余部分只对付费会员开放。下面的摘要综合了原文公开部分、HN 评论中引用的原文段落，以及随后路透社、The Register 的跟进报道和 ShinyHunters 自己发布的声明。
404 Media 报道的核心内容。 一个知名黑客组织声称攻破了多个与 FBI 相关的服务，窃取了”全部 FBI 雇员和求职者”的数据。该组织名为 ShinyHunters，其代表向 404 Media 表示，数据包括 FBI 探员的姓名、家庭住址、电话号码以及配偶信息。404 Media 看到了一份据称涉及 5000 名探员的样本。”我们黑了 FBI。我们掌握全部 FBI 雇员和求职者的数据。”该代表说。据 HN 评论引用，原文还提到被盗数据总量在 2 到 3 TB 之间，”FBI 的全部数据都被攻破了”；攻击路径是先攻陷一个 Oracle PeopleSoft（人力资源系统）实例，再横向移动进入 AWS GovCloud；FBI 的一个网站还被篡改，页面写着”本站已被 ShinyHunters 查封”。当被问到是否打算勒索 FBI 时，这位代表说：”我们打算做的事，我不会称之为勒索，也许算是胁迫……这不是出于经济目的。”
Cox 在文中强调，这次泄露可能意义重大，牵涉国家安全和反情报。与 ShinyHunters 同一犯罪生态圈的人，过去就曾利用窃取的电话记录等数据追踪、恐吓和骚扰调查他们的 FBI 探员；这些高度敏感的数据对想了解美国最重要执法和情报机构之一如何运作的外国情报机构来说也是一份大礼；如果数据落入更多罪犯手中，FBI 探员及其配偶的人身安全可能面临严重威胁。
事后的跟进报道补充了更多细节。 路透社称，ShinyHunters 在暗网网站和与路透社的在线对话中表示，此次攻击是为了回应 FBI 在 2026 年 5 月发布的一份介绍该组织手法、建议受害者不要付款的 FLASH 通报。路透社用信用局记录和暗网情报公司 District 4 Labs 保存的历史泄露数据，交叉比对了样本中的社会安全号码等信息，至少 10 人的信息吻合，其中包括 FBI 局长 Kash Patel 本人。次日路透社又报道，这份 5000 行的电子表格（黑客称只是 2 到 3 TB 数据中的一小部分）包含姓名、住址、电话、出生日期、社会安全号码和紧急联系人，部分条目还注明了所属外勤办公室，甚至所属的敏感单位：14 人从事与中国相关的工作（如”中国犯罪集团组”、”中国技术转移分析组”、”中国情报科”），9 人从事与俄罗斯相关的工作，3 人涉及伊朗或真主党情报，18 人与”数据截获”、”电信截获”、”秘密技术行动”、”隐蔽接入科”或各类监控工作有关，11 人从事人力情报（HUMINT）工作。前 FBI 反情报人员 Eric O’Neill 称这是”外国情报机构的金矿”。前 FBI 官员 Cynthia Kaiser 提到，2016 年的一次旧泄露至今仍偶尔被用来骚扰 FBI 探员，”信息一旦被盗，就会被永远使用”。
FBI 随后向 The Register 确认，”已获悉一个网络犯罪团伙声称攻破了 FBIJobs.gov 门户网站，并称影响到 FBI 雇员的个人身份信息”，突破点是第三方供应商还是 FBI 自身系统”仍未确定”，FBI 正在”积极而有力地调查”。ShinyHunters 对 The Register 说，他们利用 FBIJobs.gov 门户上又一个 Oracle PeopleSoft 零日漏洞入侵，然后进入 FBI 托管在 AWS GovCloud 上的服务器，并称该预认证漏洞至今仍无补丁，”可以让我们访问其他存在漏洞的企业的类似人事信息”。
动机是全案最荒诞的地方。 ShinyHunters 在致 FBI 网络部门助理局长 Brett Leatherman 和局长 Kash Patel 的公开信中说，FBI 在 5 月的 FLASH 通报中对他们做出了”严重不实的指控”，让他们”深感冒犯”，包括称他们会夸大掌握的数据、会骚扰受害者家属甚至”swatting”（恶意报假警引来特警），以及谎称持有受害者的尴尬照片或视频。他们给 FBI 一周时间修改或撤下这份通报，声明”我们的威胁和声称都是真实的，从不夸大，也从不虚张声势，今天这份公告就是活生生的证据”，”我们不是性勒索者”，也”从来不属于 The Com”。信中还说他们作为”美国宪法的坚定信仰者和支持者”是在”行使第一修正案权利，积极打击虚假信息”，”这不是赎金、胁迫或勒索”，落款处模仿特朗普的口吻写道：”感谢您对此事的关注。”对 The Register，他们说得更直白：”这从根本上是一次为我们业务做的公关和营销活动”，目的是让”未来付款的企业合作伙伴”（也就是勒索受害者）相信他们是”严肃、注重结果、专注于交易和解决问题的专业人士”。
HN 评论精华
本帖 811 分、约 600 条评论，是本周评论最多的帖子之一。讨论很快从事件本身扩散开来：一条主线是”到底还有没有人能守住大型数据库”的悲观论争，一条主线是 Oracle PeopleSoft 和政府 IT 采购，另有大量评论把矛头指向现任 FBI 局长 Kash Patel 领导下的人员流失和政治化，还穿插着不少关于 AI 智能体”越狱”事件和 Epstein 文件的调侃。
“没人守得住大型数据库”是最热的一楼（近 300 条回复）。jacobgold 说，他已经默认所有医疗和个人履历信息都在主要国家行为体手里，并提到 2015 年中国入侵美国人事管理局（OPM）、窃取 2210 万名政府雇员记录的事件。coldpie 的回复更极端：经过这么多年无休止的入侵和泄露，还有人相信计算机安全存在，这让他难以置信；任何接入互联网的电脑都应视为”半公开”的，”别把你那该死的供水、交通或电力基础设施接到该死的互联网上，然后把提出这个建议的人开除”。他打了个比方：计算机安全正确的类比不是锁和门，而是洪泛区里的房子，洪水来了房子保不住，别在里面存放任何关键或无法替代的东西。
反驳也很多。Aurornis 说他认识的做安全加固和漏洞研究的人从没相信过任何东西是绝对安全的，安全不是非黑即白的，而”每个数据库都应视为已被攻破”这种宿命论其实暗藏危害，他认识的持这种想法的人都滑向了松懈的安全实践：”够好了，反正有心人总能拿到。”josephg 说人类知道怎么写安全的软件，就像知道怎么造安全的飞机，seL4 的安全证明在 LLM 时代依然成立，问题在于大多数软件奉行”看起来能跑就发布”。TeMPOraL 认为把”计算机”一词拿掉，这番话照样成立：物理安全的核心问题从来不是能不能被攻破，而是攻击者要付出多大代价。throw1790150052 讲了一个更现实的原因：公司领导嘴上重视安全，激励机制却是路线图优先，交付快的人升职，关注安全的人没人赏识，经理还会嫌你拖进度。sneak 列举 Gmail、S3、PRISM 数据库、google3 源码都没泄露过，说明守住大型数据库完全可能，”但这需要能力和投入，而联邦警察在 IT 上两者都没有”。tyre 补充 2024 年 Change Healthcare 被勒索的例子：全美约 1 亿人的保险理赔数据流经这家机构，其中还包括现役军人及其家属的信息。
reactordev 引用了《太空堡垒卡拉狄加》（2004）：有人问 Adama 舰长为什么卡拉狄加号的电脑不联网，答案是为了不让赛昂人入侵。ishouldstayaway 补充说这不只是一个场景，而是整部剧的设定前提，卡拉狄加号正是因为老旧、正要被改造成博物馆才幸存下来。
Oracle PeopleSoft 成了众矢之的。 htrp 给出一句话总结：”一个 PeopleSoft（Oracle 人力资源系统）实例被攻陷，由此横向移动进入 GovCloud（AWS）。”wowczarek 的调侃被广泛引用：”普通民众：他们黑了 FBI！！！懂一点技术的人：哦，PeopleSoft 啊。”ok123456 讽刺道，这恰恰说明 IT 官僚那堵墙毫无用处，他们肯定有授权运行许可（ATO）、几百页的 SBOM 和各种合规审计。lenerdenator 不同意，认为这些流程确实提高了攻击门槛，正是它们让这类零日漏洞比黄金还值钱。Jamesbeam 详细梳理了 Oracle 企业应用的”战绩”：2025 年 Clop 勒索团伙利用 Oracle E-Business Suite 的远程代码执行漏洞 CVE-2025-61882，在 Oracle 发布补丁前有整整两个月的窗口期；ShinyHunters 今年 2 月入侵 Wynn Resorts、窃取 80 多万名员工数据，入口也是 PeopleSoft。他还挖出一篇 6 月的报道：Oracle 刚拿下一份 3.96 亿美元的政府人力资源合同，而那篇报道本身就提到 ShinyHunters 曾声称从 100 多个机构（主要是大学）的 PeopleSoft 实例中窃取数据，并称此前曾瞄准过”一台 FBI 的 PeopleSoft 服务器”。ychnd 感叹这简直像荒诞剧的编剧提前埋好的伏笔。Zigurd 的一句话收获了不少共鸣：”就连 FBI 也没有好到能把你从 Oracle 合同里救出来的人质谈判专家。”
有人顺势提出”现在有 AI 了，政府可以自己开发”，nateb2022 立刻反驳：政府的薪酬和人事系统涉及数百页的立法要求、工会谈判规则、美国法典第 5 编合规以及 FISMA/NIST 规范，光是定制 PeopleSoft 就是个大工程，并建议去看看加拿大 Phoenix 薪酬系统的灾难。sarchertech 则说他做过人力资源软件，联邦政府目前至少还有 3 套大规模自研系统在用，”定制大型企业软件更像是在写一套定制软件，只不过你还得付给供应商巨额利润”。
关于 2 到 3 TB 数据是如何被悄悄运出去的。 whynotmaybe 觉得一份员工名单不该有这么大，Tangurena2 推测数据可能包括类似 OPM 泄露中的安全审查申请材料（过去 15 年所有住址及每处认识你的人的姓名电话），并呼吁把个人身份信息当作”放射性物质”对待，对泄露实行严格责任。0xbadcafebee 说从 AWS 运出 3 TB 数据，本该有数据防泄漏、主动监控和告警机制发现流量流向陌生外部 IP，”要么有人没尽职，要么根本没合规”。chrismarlow9 则算了笔账：人类可读文本压缩比很高，2 TB 按 7:1 压缩只剩约 285 GB，一个月每天偷运 10 GB 并不容易触发阈值。jimbob45 怀疑这是虚张声势，iAMkenough 提到 IDScan 被悄悄运走数 TB 政府身份证件的先例，认为 FBI 的供应商和其他公司的供应商一样容易遭零日漏洞攻击。
人员与政治是另一条主线。 tencentshill 的评论点赞很高：”也许解雇专业人才、雇佣无能者不是个好主意。”Rotdhizon 说 FBI 过去一年急于招人，甚至搞”一轮面试就录用”，他接到过几次招聘电话，但网络安全岗位薪资比市场价低 3 到 5 万美元一年，再加上 FBI 现在的名声，”情况很严峻”。sippingabonedry 反驳说 PeopleSoft 是多年前的专家决定采购的，难道你以为 FBI 是去年才自研了人事系统？多条评论讽刺 Patel 的各种新闻，包括 FBI 放宽招聘标准的争议，iAMkenough 提到 Patel 本周刚上电视宣称 FBI 的 AI 使用量增加了 605%，”不管那是什么意思”。
关于 ShinyHunters 本身。 rdtsc 引用了原文中那句”不是勒索，也许算是胁迫……不是出于经济目的”，开玩笑说他们应该要求”9 月 23 日中午 100 名 FBI 探员在华盛顿街头跳 30 分钟小鸡舞”。Uehreka 说这句话将来在法庭上被念出来时会很难听：蠢到在公开记录里说这种话，肯定也聪明不到能逃脱抓捕。clint 则指出美国逮捕和起诉这个团伙的成员已经六年多了，他们到 2026 年还在干这种事，看起来并不害怕；woko 补充说被起诉的个人大概已经金盆洗手了，有个二十出头的成员被判三年并被责令退还 500 万美元。Cider9986 贴出了 ShinyHunters 那封公开信的全文，并指出信中所谓”客户”其实就是他们的勒索对象，他们在乎”信任”，是因为勒索团伙需要受害者相信付钱后数据真的不会被泄露。corvad 和 augment_me 提到该团伙今年春天在大学期末考试期间攻击 Canvas 学习平台，据称拿到约 1000 万美元赎金，optimalsolver 认为支付赎金应该和黑客行为本身同罪。
AI 相关的讨论也不少。 avinoth 调侃这是”新手操作”，错过了声称”是 AI 智能体集群自主入侵”然后拿到数十亿风投的机会，引发了一场关于近期 HuggingFace”智能体越狱”事件的争论：ngruhn 认为这类嘲讽和否认气候变化一样危险，该事件经过独立第三方审计；TrickyRick 则认为”我们的 AI 智能体失控入侵了另一家公司”对股价来说是比”我们的工程师把沙箱配错了”好得多的故事，只有后者才是事实。deterministic 在帖末提出一个较为建设性的观点：希望 LLM 让现有软件变得更容易被攻破这一威胁，最终能推动软件界对安全关键软件做形式化验证，而讽刺的是，LLM 恰恰也在大幅降低形式化验证的成本。
还有一些冷静的声音。xyst 和 Rhaskins 认为姓名、住址、电话这些信息靠爬取公开数据大多也能拿到，更像一次示威，除非拿到的是在职卧底探员的身份和行动细节；1attice 反问：你凭什么认为卧底探员不在这批数据里？Apocryphon 和 Fordec 都想起了 1996 年的电影《碟中谍》，那部片子的全部剧情就是反派想偷一份卧底特工名单，”而这次看起来比那还糟”。