ShinyHunters reivindica invasão ao Conselho da Europa e exfiltra 429 mil arquivos sensíveis

O Conselho da Europa não é só mais um alvo: é a instituição que supervisiona a Convenção Europeia dos Direitos Humanos e monitora Estados-membros por violações. Um vazamento com 429 mil arquivos, incluindo atestados médicos, dados bancários, avaliações de desempenho e relatórios de ausência de 10 mil funcionários, expõe riscos únicos. Diferente de empresas privadas, aqui há dados sensíveis de servidores públicos que participam de investigações sobre tortura, discriminação ou prisões arbitrárias. Se confirmado, o vazamento pode ser usado para intimidação direta de funcionários envolvidos em casos delicados.

A nova campanha do ShinyHunters usa a vulnerabilidade zero-day CVE-2026-35273 no Oracle PeopleSoft, CVSS 9.8, exploração remota sem autenticação. A Oracle corrigiu o bug em 10 de junho, mas o ataque ao Conselho foi anunciado no domingo anterior (15/06), sugerindo que a brecha foi explorada em ambiente produtivo antes da atualização. Isso reforça um padrão: desde abril de 2026, o grupo migrou de ataques centrados em Salesforce para PeopleSoft, e agora atinge entidades governamentais multilaterais com infraestrutura legada e ciclos lentos de patching.

Antes, o ShinyHunters focava quase exclusivamente em clientes corporativos do Salesforce (McGraw-Hill, Medtronic, 7-Eleven, Charter). Em maio de 2026, passou a explorar o Oracle PeopleSoft, primeiro em universidades, depois na DentaQuest (6/06), e agora no Conselho da Europa. É a primeira vez que o grupo ataca uma organização intergovernamental de alto nível com mandato jurídico vinculante. Também é a primeira vez que os dados exfiltrados incluem registros clínicos completos (atestados médicos + relatórios de ausência por doença) em escala tão ampla, algo que não apareceu nas invasões anteriores à DentaQuest.

Se o Conselho da Europa for vítima da mesma vulnerabilidade zero-day que já atingiu mais de 100 organizações, isso mostra que sistemas críticos de governança internacional estão tão expostos quanto universidades ou operadoras de saúde. A falta de transparência imediata, nem confirmação nem negação até 16/06, dificulta a adoção de medidas defensivas por outros membros da organização. E, pior: dados como salários de 2011 a 2026 permitem reconstruir trajetórias profissionais, facilitando engenharia social contra funcionários de outros órgãos europeus.