ShinyHunters revendique le vol de 297 Go de données de paie et RH du Conseil de l'Europe via une faille zero-day Oracle PeopleSoft

Le 14 juin 2026, le groupe d'extorsion ShinyHunters a affirmé publiquement avoir dérobé environ 297 Go de données au Conseil de l'Europe — la plus ancienne organisation intergouvernementale du continent, basée à Strasbourg et surtout connue pour la Convention européenne des droits de l'homme et la Cour européenne des droits de l'homme. Le groupe a menacé de divulguer le butin, fixant une échéance au 16 juin 2026, et le Conseil a déclaré enquêter sur ces affirmations.

Ce qui s'est passé

Selon les propres déclarations de ShinyHunters, le butin couvre environ 429 000 fichiers avec des enregistrements datant de 2011 à 2026, dont quelque 409 000 fiches de paie, 14 000 CV et 3 700 documents RH internes. Les attaquants affirment que ces données de paie et de ressources humaines concernent plus de 10 000 employés, anciens et actuels, sous-traitants et candidats répartis entre plusieurs entités du Conseil — le Secrétariat, la Direction des ressources humaines, l'Assemblée parlementaire et la Direction européenne de la qualité du médicament (EDQM) — et comprennent des informations salariales, des coordonnées bancaires, des dossiers fiscaux et de sécurité sociale, ainsi que des identifiants personnels comme les noms, adresses et coordonnées.

L'intrusion est liée à CVE-2026-35273, une faille critique (CVSS 9.8) d'exécution de code à distance non authentifiée dans Oracle PeopleSoft PeopleTools. ShinyHunters a exploité le bug en zero-day — une activité observée entre le 27 mai et le 9 juin 2026 environ, avant l'avis d'urgence d'Oracle du 10 juin — pour compromettre plus de 100 organisations exécutant des instances PeopleSoft vulnérables, dont de nombreuses universités. Le Conseil de l'Europe figure parmi les victimes les plus en vue à émerger de cette campagne.

Pourquoi c'est important

Les chiffres avancés ici sont ceux des attaquants et, au moment de la divulgation, le Conseil n'avait pas confirmé ce qui avait été dérobé, le cas échéant. Néanmoins, des jeux de données de paie et RH de ce type — coordonnées bancaires, numéros fiscaux et de sécurité sociale, salaires et CV s'étalant sur plus d'une décennie — sont précisément le matériau qui alimente l'usurpation d'identité, la fraude et l'hameçonnage ciblé, et leur exposition dans une institution traitant de sujets sensibles liés aux droits de l'homme et à la diplomatie comporte un risque accru. L'affaire souligne aussi comment une seule faille zero-day PeopleSoft a permis à un même groupe de passer de fuites massives dans les universités à une cible intergouvernementale européenne de premier plan.