Il gruppo di cybercriminali ShinyHunters ha rivendicato un attacco contro il Consiglio d'Europa, l'organizzazione internazionale con sede a Strasburgo che riunisce 46 Stati membri ed è nota soprattutto come custode della Convenzione europea dei diritti dell'uomo. Secondo la rivendicazione, apparsa sul sito di leak del gruppo, sarebbero stati sottratti 297 GB di dati distribuiti su circa 429.000 file.
Cosa avrebbero rubato
I dati rivendicati riguarderebbero più dipartimenti dell'organizzazione: il Segretariato, l'Assemblea parlamentare e l'EDQM (la Direzione europea per la qualità dei medicinali e dell'assistenza sanitaria). Secondo ShinyHunters, l'archivio includerebbe buste paga relative a oltre 10.000 dipendenti, più di 14.000 curricula, valutazioni delle performance, contratti, ordini di acquisto, registri delle assenze e informazioni sanitarie. I dati coinvolti spazierebbero da nomi, date di nascita e indirizzi a codici fiscali, numeri di previdenza sociale e cartelle relative a malattie, con un arco temporale che va dal 2011 al 2026.
Il vettore d'attacco: ancora Oracle PeopleSoft
Un portavoce del gruppo ha dichiarato al Register che l'accesso iniziale sarebbe avvenuto sfruttando CVE-2026-35273, una vulnerabilità in Oracle PeopleSoft già nota: si tratta della stessa falla zero-day che nelle settimane precedenti era stata usata da ShinyHunters per colpire diverse organizzazioni, in particolare università, in una campagna attribuita dalla società Mandiant al gruppo UNC6240. Il caso del Consiglio d'Europa confermerebbe quindi che lo sfruttamento di quella vulnerabilità è proseguito anche dopo le prime segnalazioni pubbliche, colpendo questa volta un'istituzione internazionale di alto profilo.
La scadenza e la risposta dell'organizzazione
ShinyHunters ha fissato la scadenza per il pagamento del riscatto al 16 giugno 2026, minacciando la pubblicazione integrale dei dati in caso di mancato accordo. Il Consiglio d'Europa, da parte sua, si è limitato a dichiarare di essere "attualmente impegnato nelle verifiche e nella valutazione della situazione", senza confermare né smentire la violazione. Al momento non è quindi possibile stabilire con certezza se l'intrusione sia realmente avvenuta nella portata descritta, se i dati pubblicati siano autentici, né se parte del materiale sia già stato diffuso.
Perché è rilevante
Anche al netto delle verifiche ancora in corso, il caso è significativo per due motivi. Il primo è la natura dei dati coinvolti: informazioni sanitarie, fiscali e di previdenza sociale di migliaia di dipendenti rappresentano un bersaglio di alto valore per il furto d'identità e per ulteriori tentativi di estorsione individuale. Il secondo è strutturale: colpire un'organizzazione internazionale che si occupa di diritti umani e tutela dei dati personali ha un evidente valore simbolico per un gruppo di estorsione, oltre a quello economico.
Per le organizzazioni che usano Oracle PeopleSoft, l'episodio è un ulteriore richiamo a verificare con urgenza lo stato delle patch su CVE-2026-35273 e a monitorare i log di accesso per individuare segnali di compromissione pregressa, anche a distanza di settimane dalla divulgazione iniziale della falla.
