La NAIC confirme une fuite de données après l'exploitation d'une faille zero-day Oracle PeopleSoft par ShinyHunters

Le 23 juin 2026, la National Association of Insurance Commissioners (NAIC) — l'organisation de normalisation et d'appui réglementaire basée à Kansas City qui regroupe les principaux régulateurs de l'assurance des 50 États américains, du district de Columbia et des cinq territoires des États-Unis — a confirmé avoir subi une fuite de données après que des attaquants ont exploité une faille zero-day dans Oracle PeopleSoft. La NAIC a indiqué qu'un accès non autorisé à une partie de son environnement avait été détecté le 11 juin 2026 et que l'intrusion s'inscrivait dans une vaste campagne ayant touché plusieurs organisations à travers le monde.

Ce qui s'est passé

La fuite découle de l'exploitation active de CVE-2026-35273, une faille critique d'exécution de code à distance dans Oracle PeopleSoft Enterprise PeopleTools notée 9,8 sur l'échelle CVSS, qui ne requiert ni authentification ni interaction de l'utilisateur. Le groupe Mandiant de Google a attribué la campagne plus large à l'acteur d'extorsion qu'il suit sous le nom d'UNC6240, mieux connu sous le nom de ShinyHunters, datant l'activité à partir du 27 mai 2026 — avant qu'Oracle ne publie un avis et un correctif hors cycle le 10 juin — ce qui signifie que la faille était une véritable zero-day pendant toute la fenêtre d'exploitation. ShinyHunters a affirmé avoir compromis plus de 100 organisations et plus de 300 instances PeopleSoft à l'aide de cette faille.

Données exposées

La NAIC a indiqué qu'elle utilisait PeopleSoft principalement pour ses rapports financiers internes et que son enquête avait conclu qu'aucune information personnelle identifiable ni donnée de paiement n'avait été consultée — notamment aucune donnée d'employé, coordonnées de virement électronique, donnée de capital fondé sur le risque, information d'assuré, donnée de courtier ou information de paiement d'inscription à des événements. ShinyHunters a toutefois affirmé avoir exfiltré plus de 3,1 téraoctets de données comprenant plus de 105 000 fichiers, et dès le 25 juin 2026 l'organisation a confirmé que les données volées avaient été publiées en ligne par l'acteur malveillant.

Contexte

La NAIC ne réglemente pas directement les assureurs mais fournit la technologie, les données et les cadres types qui sous-tendent la réglementation de l'assurance fondée sur les États à travers les États-Unis, ce qui en fait une cible de grande valeur dont la compromission a suscité l'attention du secteur de l'assurance comme des régulateurs. L'incident constitue l'une des victimes confirmées les plus en vue de la campagne PeopleSoft de ShinyHunters, qui a surtout frappé les établissements d'enseignement supérieur mais s'est étendue à des organismes para-gouvernementaux et financiers, illustrant comment une seule application d'entreprise non corrigée peut exposer d'importants volumes de données organisationnelles sensibles à une extorsion de masse.