一個招聘網頁上的零日漏洞：ShinyHunters 宣稱搬走 FBI 逾 2TB 人事資料，帳要先記在 legacy 系統那欄

2026 年 9 月 22 日，勒索組織 ShinyHunters 向媒體宣稱入侵美國聯邦調查局（FBI），自 FBI 管理的 AWS GovCloud 伺服器下載約 2TB 至 3TB 資料，內容涉及 FBI 現職與離職僱員以及求職者。該組織一名發言人強調，此次行動並非出於經濟動機，而是要求 FBI 更正或撤回先前針對該組織的聲明。根據 The Register 報導，入侵路徑是 FBI 招聘網頁上運行的 Oracle PeopleSoft 系統存在一個零日漏洞，允許在伺服器上遠端執行程式碼；該組織隨後竄改頁面，換上「This site has been seized by ShinyHunters」的橫幅。

這則消息的重點不在入侵本身，而在它再次攤開政府機關 IT 資產裡最難編預算的那一塊：老舊商用套裝軟體的維運與修補成本。以下從成本結構角度拆解。

入侵標的是人事系統，暴露的是採購慣性

此次被點名的 Oracle PeopleSoft 屬於大型企業級人力資源與 ERP 套裝軟體，最早於 1980 年代末期推出，2005 年被 Oracle 收購後持續以長期支援模式維運。這類系統在美國聯邦政府內部存量極大：人事管理辦公室（OPM）、國防部多個單位與地方執法機構都曾採用 PeopleSoft 作為薪資與人事核心。

對政府 CIO 而言，這類系統的成本結構有一個特徵：授權與維護費是每年可預測的經常性支出，但替換成本是一次性且巨大的資本支出，涉及資料遷移、業務流程重整與人員再訓練。結果是系統生命週期被不斷延長，修補責任則落在廠商安全補丁與機關自身組態管理之間的灰色地帶。零日漏洞擊中的正是這個縫隙：廠商補丁尚未發布或尚未部署的窗口期，系統對外可達性越高，暴露面越大。

值得對照的是 2015 年 OPM 資料外洩事件。當年超過 2200 萬筆人事與背景調查紀錄外洩，事後美國政府問責辦公室（GAO）一連串報告指向的共同問題，並非缺乏資安產品採購，而是老舊系統庫存清點不全與修補時程失控。OPM 事件後聯邦政府推動的持續診斷與緩解計畫（CDM），十年間累計投入以十億美元計，但此次事件顯示，人事與招聘這類「非機密」對外系統，仍是修補資源分配上的低優先順位。

2TB 資料的帳：洩露成本由誰吸收

ShinyHunters 聲稱取得的 2TB 至 3TB 資料，涉及現職、離職人員與求職者三類主體。從成本傳導看，這三類的暴露結構不同。

現職探員與分析人員的個資外洩，直接成本落在身分監控與威脅防護支出。FBI 今年五月發布的安全警告已指出，ShinyHunters 對受害者採取騷擾策略，包括發送威脅簡訊、騷擾電話，部分情況涉及惡意報假警（swatting）。若人員住家與家庭成員資訊隨這批資料流出，機關需要為高風險人員加購防護資源，這筆支出在聯邦預算中屬於難以事先編列的應急項目。

求職者資料的問題更結構性。招聘資料庫包含大量尚未任職、也未簽署任何風險承受條款的公民個資，一旦證實外洩，信用監控與通知義務的合規成本按人頭計算。以 2015 年 OPM 事件為基準，當年每人身分監控服務的合約單價與覆蓋年限，是最直接的跨週期對照點。

第三類是 Amazon Web Services。FBI 資料存放於 AWS GovCloud，這是專供美國政府客戶的隔離雲區域，通過 FedRAMP High 等審核。雲端本身並非此次被突破的環節，漏洞在應用層的 PeopleSoft。但對 AWS 而言，這類事件影響的是銷售敘事：GovCloud 的溢價建立在「繼承的安全合規」之上，當漏洞發生在客戶自管的應用層，責任分界線的每一次公開模糊，都會讓政府客戶在下一輪合約談判中要求更細的責任條款與更低的單價。

誰承壓、誰受惠：一筆修補帳的分配

承壓端首先是被點名的老舊 ERP 存量。Oracle 不會因此失去 PeopleSoft 支援合約，但聯邦機關內部「以維運換替換」的拖延策略，其風險成本被再次量化展示。未來數個預算週期，各機關被要求提交 legacy 系統清單與下線時程的壓力會升高，加速審議中的現代化撥款案。

受惠端是兩類供應商。一是應用層防護與曝險管理廠商，其產品賣點正是「補丁發布前的窗口期防護」，這類事件是銷售週期中最有效的需求催化劑。二是身份監控與信用保護服務商，若外洩規模坐實且涉及求職者，按人計費的監控合約將直接受惠。

中間地帶是 Oracle 本身。PeopleSoft 的支援收入不受短期影響，但若聯邦客戶以此為由加速遷移至 Oracle Fusion 或競品 SaaS 方案，長期授權結構會出現板塊移動。遷移是資本支出，決策週期以年計，短期內不會反映在財報。

收束：動機聲明不改成本結構

ShinyHunters 強調此舉非出於經濟動機，並否認 FBI 五月聲明中的指控。動機敘事影響輿論，但不改變資安成本的計算方式：漏洞存在於應用層、資料集中於單一雲端環境、修補窗口未被閉合，這三個條件任何一個成立，事件就會重演，無論攻擊者標榜什麼目的。

FBI 截至報導時點尚未證實資料規模與真實性，這一點必須保留。但對產業觀察者而言，可驗證的事實已足夠：一個招聘網頁、一套運行數十年的商用套裝軟體、一個零日漏洞，構成了本次事件的完整成本結構。下一筆聯邦資安預算怎麼分配，答案已經寫在這個結構裡。