FBI memutus kerja sama dengan seorang kontraktor Accenture pada Senin, 5 Oktober 2026. Penyebabnya terdengar sederhana: satu patch keamanan yang tidak dipasang tepat waktu. Tapi akibatnya jauh dari sederhana — data pribadi sensitif ribuan pegawai FBI ikut bocor.
Kabar ini pertama kali dilaporkan Reuters, yang mengutip dua sumber yang mengetahui langsung masalah tersebut. Menurut mereka, FBI mencabut kontraktor itu karena perannya dalam kebocoran data yang mengekspos detail pribadi sensitif ribuan pegawai biro tersebut.
“Sampai saat ini, tinjauan kami menemukan insiden ini terjadi sebagai akibat kegagalan keamanan pada platform yang dikelola pihak ketiga — setelah seorang kontraktor gagal menerapkan patch keamanan yang secara eksplisit diterbitkan untuk mengamankan platform tersebut,” kata Kepala Siber FBI, Brett Leatherman, dalam pernyataannya kepada Reuters.
Leatherman menambahkan, FBI kemudian mencopot kontraktor tersebut dan mengambil seluruh langkah yang diperlukan untuk mengurangi risiko lebih lanjut sekaligus melindungi para pegawai.
Bukan celah asing, cuma belum dipasang
Yang membuat insiden ini menyakitkan adalah status celahnya. Ini bukan zero-day misterius, bukan pula kelemahan langka yang belum pernah terdengar. Ini celah yang sudah diketahui publik, sudah dieksploitasi penyerang, dan perbaikannya sudah tersedia.
Reuters mengidentifikasi platform yang dimaksud sebagai Oracle PeopleSoft — perangkat lunak sumber daya manusia yang menjalankan situs lowongan kerja FBI, FBIjobs.gov. Accenture disebut sebagai pihak ketiga yang mengelolanya. Oracle belum merespons permintaan komentar, sementara Accenture hanya menyatakan bangga mendukung misi FBI dan berencana terus melakukannya, tanpa menanggapi pertanyaan soal kontraktor maupun patch yang terlewat.
Pada Juni, Google memperingatkan adanya kampanye yang terkait ShinyHunters dan menyasar pengguna PeopleSoft. Di hari yang sama, Oracle mengeluarkan peringatan keamanan soal kerentanan tersebut sekaligus merilis perbaikannya. Kedua perusahaan meminta pelanggan PeopleSoft segera memasang semua patch kritis dan pembaruan keamanan.
Artinya, peringatan dan perbaikan sudah ada di depan mata. Menambal sistem enterprise berskala besar memang tidak selalu mudah, tapi ini bukan kasus celah yang tidak diketahui siapa pun.
ShinyHunters dan motif yang tak biasa
September lalu, kelompok kejahatan siber ShinyHunters mengklaim telah membobol FBI dan mencuri informasi sensitif milik pegawai serta pelamar kerja. Klaim itu muncul pada 22 September. Kelompok ini menyebut operasinya bukan bermotif uang, melainkan balasan atas peringatan FBI yang terbit awal tahun.
ShinyHunters mengaku memperoleh data sejumlah besar personel FBI, baik yang masih aktif maupun mantan. Mereka menawarkan sampel sekitar 5.000 catatan sebagai bukti. Data yang diklaim dicuri mencakup nama, alamat, nomor telepon, nomor jaminan sosial (SSN), penugasan, hingga dalam beberapa kasus detail keluarga.
Reuters bisa mencocokkan sebagian sampel itu dengan catatan lain, termasuk data yang terkait Direktur FBI Kash Patel. Dalam setidaknya 10 kasus, termasuk pada data Patel, Reuters menemukan detail yang tampak cocok. Mereka memverifikasinya lewat catatan biro kredit dan data kebocoran lama yang disimpan firma intelijen dark web District 4 Labs.
ShinyHunters lalu memberi penjelasan teknis. Mereka mengaku mengeksploitasi kerentanan PeopleSoft untuk mendapat eksekusi kode jarak jauh lewat infrastruktur yang terhubung ke layanan rekrutmen FBI. Mereka juga mengklaim mengakses sejumlah layanan terkait FBI, termasuk sistem sumber daya manusia dan sistem bernama Medlink. Menurut klaim mereka, antara 2 hingga 3 TB data diambil.
ShinyHunters menyebut aksinya sebagai bentuk protes atas peringatan publik Mei 2026 yang menggambarkan taktik mereka dan meminta korban tidak membayar. Kelompok ini menuntut FBI mencabut atau mengoreksi peringatan itu. Alih-alih meminta tebusan seperti biasa, mereka memakai data curian sebagai alat tekan terhadap penegak hukum AS.
Yang bocor bukan sekadar nama dan email
Isi data yang bocor jauh lebih sensitif dibanding kebocoran biasa. Di dalamnya ada detail soal peran kontraintelijen pegawai tertentu, alamat rumah operatif intelijen, serta rekam medis dan psikiatrik staf FBI.
Bagi lembaga yang sebagian pegawainya bergantung pada kerahasiaan identitas, pekerjaan, dan alamat rumah, ini bukan sekadar insiden data. Ini risiko operasional yang serius. Mantan pejabat FBI pun menyebutnya pukulan besar bagi keamanan operasional organisasi.
Pekan lalu, seorang tersangka utama ShinyHunters ditangkap di Yordania dan dilaporkan mulai bekerja sama dengan penyelidik. Itu mungkin membantu FBI memahami seberapa parah kerusakan sebenarnya.
FBI mengakui mengetahui klaim aktivitas tak sah yang memengaruhi FBIjobs.gov dan masih menyelidiki. Namun biro belum mengonfirmasi bahwa sistem internalnya benar-benar ditembus atau bahwa ShinyHunters benar memiliki data yang mereka klaim.
Mencopot satu kontraktor tidak membatalkan kebocoran seperti ini. Itu hanya menutup pintu setelah kejadian.
