Napad ShinyHuntersa na Oracle PeopleSoft ima novi detalj: ono što je isprva opisano kao jedna zero-day ranjivost ispostavlja se kao tri ulančane ranjivosti. Prema izvješću, ShinyHunters je kombinirao ranjivosti kako bi preuzeo poslužitelje bez potrebe za prijavom, a napadi su zahvatili više sektora.
To je važno znatno šire od IT timova. PeopleSoft je poslovni softver, pa oni na koje to najviše utječe možda nikada nisu izravno dotaknuli ranjivi sustav. Ovaj tekst objašnjava što je objavljeno, tko bi mogao biti izložen i koje praktične korake možete poduzeti.
Što se dogodilo: tri ulančane PeopleSoft ranjivosti
Ključni nalaz jest da je ShinyHunters iskoristio tri ulančane Oracle PeopleSoft ranjivosti koje su omogućile preuzimanje poslužitelja bez autentikacije. "Bez autentikacije" znači da napadaču nije potrebno korisničko ime ni lozinka za početak. "Ulančano" znači da svaka ranjivost sama po sebi možda ne daje potpunu kontrolu, ali korištene u nizu daju.
To je uobičajen obrazac kod ozbiljnih upada. Jedna pogreška može napadaču omogućiti pristup nečemu čemu ne bi trebao, druga mu može podići privilegije, a treća mu može omogućiti izvršavanje naredbi na poslužitelju. Rani opisi incidenta prikazivali su ga kao jednu zero-day ranjivost, no ulančana priroda upućuje na to da je napad bio promišljeniji i složeniji nego što se isprva izvijestilo.
Izvorni članak navodi da su napadi zahvatili više sektora. U dostupnim materijalima nemamo više pojedinosti od toga, pa bi bilo pogrešno nagađati o konkretnim žrtvama, broju zapisa ili vremenskom okviru. Organizacije koje koriste PeopleSoft trebaju se za pojedinosti osloniti na vlastite smjernice Oraclea i svoje sigurnosne timove.
Tko je u opasnosti nakon PeopleSoft proboja
PeopleSoft se obično koristi za obavljanje pozadinskih funkcija unutar velikih organizacija. Kada se preuzme poslužitelj koji ga pokreće, izloženost se obično proteže na ljude čije podatke sustav čuva, a ne samo na samu organizaciju.
To može uključivati:
- Zaposlenike, čiji podaci o ljudskim resursima ili plaćama mogu biti pohranjeni u povezanim sustavima.
- Studente i kandidate, ako njihova škola koristi PeopleSoft za evidenciju ili upise.
- Kupce, ako organizacija čuva njihove podatke u sustavu koji se temelji na PeopleSoftu.
Ključno je da ne morate učiniti ništa pogrešno. Ako vaš poslodavac, škola ili tvrtka s kojom poslujete pokreće ranjivi poslužitelj, vaši podaci mogu biti u opasnosti čak i ako se nikada niste prijavili na njega. Je li vašim podacima doista pristupljeno ovisi o organizaciji, zbog čega je važno zatražiti jasnu obavijest.
Kako ukradeni podaci potiču phishing i preuzimanje računa
Samo preuzimanje poslužitelja tek je prvi korak. Ono što se poslije događa s ukradenim podacima često je ono što pojedincima nanosi najveću štetu.
Imena, adrese e-pošte, radna mjesta i interne pojedinosti čine phishing poruke znatno uvjerljivijima. Poruka koja spominje vašeg stvarnog poslodavca, odjel ili školu izgleda legitimno na način na koji generička prijevara ne izgleda. Napadači se mogu predstavljati kao ljudski resursi, IT podrška ili ured za financijsku pomoć i tražiti da "potvrdite" lozinku ili kliknete na poveznicu.
Ako ponovno koristite lozinke na više servisa, svi vjerodajnički podaci izloženi u proboju mogu se isprobati i drugdje, tehnika poznata kao credential stuffing. Zato se naknadni napadi mogu pojaviti tjednima nakon izvornog upada i zato proboj za koji nikada niste čuli može dovesti do sumnjive e-pošte u vašem pretincu.
Ulančano iskorištavanje nije jedinstveno za ovaj slučaj. Naše izvješće o tome kako UTA0565 ulančava Chrome i Windows zero-day ranjivosti pokazuje istu strategiju: povezivanje nekoliko slabosti kako bi zajedno postigle ono što nijedna sama ne može.
Što to znači za vas
Ako ste zaposlenik, student ili kupac organizacije koja koristi PeopleSoft, ne možete sami zakrpati poslužitelj. Ono što možete učiniti jest smanjiti štetu ako su vaši podaci bili izloženi:
- Pretpostavite da poruke koje spominju vašeg poslodavca ili školu mogu biti sastavljene od curenih podataka.
- Zaštitite svoje račune tako da ukradena lozinka sama po sebi nije dovoljna.
- Budite pozorni na obavijesti organizacije i zatražite ih ako nijedna ne stigne.
VPN vas ovdje ne štiti. Izloženost se dogodila na poslužiteljima organizacije, a ne na vašoj vezi, pa su sigurnost računa i budnost alati koji se računaju.
Što učiniti ako vaš poslodavac ili škola koristi PeopleSoft
- Pitajte izravno. Obratite se svom odjelu za ljudske resurse, IT ili studentsku službu i pitajte koriste li PeopleSoft, jesu li bili zahvaćeni i planira li se obavijest o proboju.
- Omogućite višefaktorsku autentikaciju (MFA) na poslovnim, školskim, e-mail i bankovnim računima. Aplikacija za autentikaciju ili hardverski ključ jači su od SMS kodova.
- Promijenite ponovno korištene lozinke i koristite upravitelj lozinkama kako bi svaki račun imao jedinstvenu lozinku.
- Nadzirite svoje račune. Pazite na neobične prijave, e-poštu za poništavanje lozinke koju niste zatražili i nepoznatu financijsku aktivnost.
- Sumnjajte u neočekivane poruke. Ako e-pošta ili tekstualna poruka tvrdi da je od ljudskih resursa, IT-a ili školskog ureda, ne klikajte na njezine poveznice. Idite izravno na službenu stranicu ili nazovite poznati broj.
- Čuvajte evidenciju o svakoj obavijesti o proboju koju primite i slijedite njezine savjete o nadzoru kredita ili zaštiti identiteta.
Ključna poruka
Napad ShinyHuntersa na Oracle PeopleSoft podsjetnik je da su vaši podaci samo onoliko sigurni koliko najslabiji poslužitelj koji ih čuva. Pomak s jedne zero-day ranjivosti na tri ulančane ranjivosti pokazuje kako napadači grade pouzdane putove u poslovne sustave bez potrebe za ijednom lozinkom.
Ne možete kontrolirati kako vaš poslodavac ili škola zakrpaju svoj softver, ali možete omogućiti MFA, nadzirati svoje račune, preispitivati neočekivane poruke i zatražiti obavijesti o proboju u pisanom obliku. Za još jedan primjer kako ulančano iskorištavanje zero-day ranjivosti funkcionira u praksi, pročitajte o UTA0565 i napadima CLEANGULP.
, koja obuhvaća 20 provedbi i 26 uhićenja kako je objavljeno. Stavljene jedne uz druge, te brojke pokazuju koliko je ljudi koji nisu bili osumnjičeni ni za što prošlo ispred kamera.
## Zašto još uvijek ne postoji zakon koji uređuje prepoznavanje lica u stvarnom vremenu
Zakon o reformi policije trebao bi regulirati tu tehnologiju, ali prema izvješću još nije stigao u parlament. To znači da se policijske snage oslanjaju na složenu mješavinu propisa, a ne na jedinstveni zakon napisan upravo u tu svrhu.
Izvještavanje drugih medija opisuje trenutnu pravnu osnovu kao rascjepkanu, sastavljenu od običajnog prava, zakona o zaštiti podataka i zakona o ljudskim pravima. Policijske snage također objavljuju vlastite operativne postupke, a vlada je izdala standardne operativne postupke za uspostavu i provedbu prepoznavanja lica u stvarnom vremenu. To su smjernice, a ne akt parlamenta s definiranim ograničenjima, nadzorom i pravnim lijekovima.
Praktični je učinak taj da o odlukama o tome gdje će kamere biti postavljene, tko će se naći na popisu promatranih osoba i koliko će se dugo podaci čuvati uvelike oblikuje policijska politika. Kritičari tvrde da je to slab temelj za alat koji obrađuje lica svakoga tko prođe pokraj kamere, a ne samo osoba od interesa. Zagovornici tehnologije ističu njezinu upotrebu u pronalaženju traženih osoba. No obje strane raspravljaju o okviru koji još nije zakonski uređen.
## Što je presuda Visokog suda iz travnja 2026. ostavila neriješenim
Visoki sud presudio je u travnju 2026., a prema izvješću je ta odluka ostavila otvorenima brojne pravne praznine. U izvornom materijalu nije nam pruženo cjelovito obrazloženje, pa bi bilo pogrešno preuveličavati što je sud odlučio, a što nije. Može se reći da presuda nije zamijenila zakonodavstvo. Izvještavanje drugih medija navodi da je pravni izazov dvoje ljudi odbijen te da se očekuje širenje upotrebe tehnologije.
To je važno jer sudska presuda odgovara na konkretna pitanja koja su pred njega stavljena. Ona ne stvara sveobuhvatna pravila, neovisni nadzor ni jasna pojedinačna prava koja bi zakon mogao pružiti. Dok parlament ne postupi, pitanja o proporcionalnosti, kriterijima popisa promatranih osoba i zaštitnim mjerama ostaju sporna, a Komisija za jednakost i ljudska prava prethodno je opisala politiku jedne policijske snage kao nezakonitu.
## Što to znači za vas
Ako živite u području u kojem se koristi prepoznavanje lica u stvarnom vremenu ili putujete kroz njega, vaše lice može biti skenirano bez da vi išta učinite i bez posebnog zakona koji precizira vaša prava. VPN ovdje ne pomaže. On štiti vaš internetski promet, a ne vaše lice na javnoj ulici, pa su alati koji su važni pravni i administrativni.
- **Prava na zaštitu podataka:** Policijska obrada biometrijskih podataka potpada pod zakon o zaštiti podataka. Možete pitati policijsku snagu koje osobne podatke o vama ima i kako se s njima postupa.
- **Pritužbe:** Ako smatrate da je vašim podacima postupano nepravilno, možete se najprije žaliti policijskoj snazi, a zatim Uredu povjerenika za informiranje (ICO).
- **Zahtjevi za slobodu informiranja:** Brojke Big Brother Watcha pokazuju koliko se može saznati iz objavljivanja podataka. Možete od svoje lokalne policijske snage zatražiti datume i lokacije provedbi, politike popisa promatranih osoba i pravila o čuvanju podataka.
- **Objavljene smjernice:** Pročitajte smjernice ICO-a i vladine objavljene operativne postupke kako biste znali što se od policijskih snaga očekuje i mogli uočiti gdje praksa zaostaje.
## Ključni zaključci
Podatak iz Hampshirea o 406.001 skeniranju pokazuje koliko je provedba odmakla pred zakonodavstvom. Dok Zakon o reformi policije ili neka druga mjera ne stigne u parlament, pravo Ujedinjenog Kraljevstva o prepoznavanju lica u stvarnom vremenu ostaje rascjepkana mješavina običajnog prava, zaštite podataka i načela ljudskih prava.
1. Provjerite našu [analizu provedbe u Hampshireu](/en/hampshire-police-scan-406-001-faces-for-26-arrests) za brojke o broju skeniranja u odnosu na broj uhićenja.
2. Pratite Big Brother Watch i smjernice ICO-a za novosti o zakonu i o svojim pravima.
3. Iskoristite svoja prava na zaštitu podataka i slobodu informiranja kako biste od svoje lokalne policijske snage zatražili informacije o tome kako se tehnologija koristi.
4. Imajte na umu da VPN ne štiti od uličnih kamera. Vaši najjači alati ovdje su zahtjevi za transparentnost, pritužbe i javni pritisak na zakonodavce.](/api/img?p=articles%2F8414%2Fimage-0.jpg&w=640)
