FBI arresta a otro hacker de ShinyHunters tras la intrusión en la agencia

AXCESS · Octubre 09, 2026, 03:27:08 PM

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

El FBI ha detenido a otro presunto miembro del grupo de extorsión ShinyHunters, al que se considera implicado en la reciente vulneración de los sistemas del FBI, según anunció el viernes el director Kash Patel.

"Nuestros agentes sobre el terreno han detenido a otro presunto cómplice del grupo ShinyHunters, el grupo al que se atribuye la responsabilidad del reciente incidente en http://FBIjobs[.]gov, ocurrido en una plataforma gestionada por un proveedor externo", declaró Patel en X.

"Esta es la detención más reciente realizada por el FBI en cuestión de días en relación con esta red, mientras trabajamos sin descanso para desmantelar el grupo, seguir nuevas pistas y pruebas, y actuar con rapidez".

Aunque Patel no identificó al sospechoso ni reveló dónde se produjo la detención, *The New York Times* informa que se trata de un ciudadano canadiense arrestado en Pensilvania, considerado un cómplice principal en la intrusión.

Las autoridades no han revelado públicamente el nombre del sospechoso ni los cargos concretos que se le imputan.

Esta detención es la última de una serie de acciones policiales contra ShinyHunters tras la intrusión del grupo de hackers en los sistemas del FBI el mes pasado.

ShinyHunters declaró a *BleepingComputer* en septiembre que accedió a los sistemas del FBI explotando una supuesta vulnerabilidad de día cero en Oracle PeopleSoft, antes de realizar un movimiento lateral hacia la infraestructura AWS GovCloud gestionada por el FBI.

Los autores de la amenaza afirmaron haber robado entre 2 y 3 terabytes de datos, incluida información sobre empleados actuales y antiguos del FBI, candidatos a puestos de trabajo, historiales médicos y psiquiátricos, y registros internos de servicios.

Las muestras de datos compartidas con *BleepingComputer* y otros medios de comunicación confirmaron que la brecha expuso diversa información de los empleados, como domicilios particulares, números de la Seguridad Social, asignaciones laborales confidenciales, datos sobre familiares y otra información personal.

*The New York Times* también informa que un memorando interno del FBI indicaba que la agencia asumía que la brecha había afectado a todos los empleados.

Posteriormente, el FBI declaró que el incidente se originó en una plataforma gestionada por un contratista externo que no había instalado una actualización de seguridad. Desde el hackeo de FBIJobs, la agencia ha intensificado considerablemente la presión para identificar y capturar a la banda de extorsionadores ShinyHunters.

El 15 de septiembre, la policía holandesa detuvo a un hombre de 24 años residente en Ámsterdam como parte de una investigación sobre el grupo de hackers. El sospechoso fue identificado como Pepijn van der Stap, un hacker holandés conocido en línea anteriormente como "Umbreon".

ShinyHunters negó que van der Stap estuviera vinculado al grupo y declaró a BleepingComputer en aquel momento: "Ese individuo no tiene ninguna relación con nosotros. Francamente, nos hace gracia".

Poco después, el FBI tomó la inusual medida de advertir públicamente a los miembros de ShinyHunters que se entregaran, señalando que los investigadores seguían identificando a personas vinculadas al grupo.

"Las detenciones suelen cambiar quién está dispuesto a hablar, y la infraestructura incautada nos permite ver quiénes quedan", declaró entonces Brett Leatherman, subdirector de la División Cibernética del FBI.

"Cuanto más tiempo permanezcan en esto, más sabremos sobre ustedes. Saben cómo encontrarnos y nosotros sabemos cómo encontrarlos. Les sugiero que den el primer paso mientras aún pueden elegir".

Días más tarde, un presunto miembro de ShinyHunters conocido en línea como "Rey" fue detenido —según se informó— en Jordania y comenzó a colaborar con el FBI y con organismos internacionales encargados de hacer cumplir la ley.

Reuters informó que las autoridades jordanas detuvieron a Rey, identificado como Saif al-Din Khader, y que, según diversas fuentes, este estaba ayudando a los investigadores a localizar a otros presuntos miembros del grupo.

Por esa misma época, también empezaron a surgir indicios de desestabilización dentro de ShinyHunters.

El principal representante del grupo —quien se comunicaba habitualmente con BleepingComputer y otros periodistas, y conocía a fondo los ataques perpetrados por ShinyHunters en los últimos dos años— dejó de responder por Telegram el martes pasado.

Al parecer, dicha cuenta de Telegram ha sido eliminada.

Ese mismo representante siguió comunicándose con BleepingComputer tras la detención de van der Stap, lo que sugería que este último no era la persona que manejaba la cuenta. Casi al mismo tiempo que la detención de Rey, otro presunto colaborador de ShinyHunters —que poseía información detallada sobre el hackeo al FBI— cerró una cuenta de mensajería en línea, y el sitio web del grupo destinado a la filtración de datos dejó de estar operativo.

Más tarde se lanzó un nuevo sitio de filtraciones de ShinyHunters, lo que sugería que al menos algunos miembros de la organización seguían activos.

No está claro si la desaparición del principal representante del grupo guarda relación con alguna de las detenciones recientes.

«Seguiremos colaborando estrechamente con nuestros socios para desmantelar lo que queda del grupo ShinyHunters y a sus colaboradores, independientemente de dónde operen», declaró Patel el viernes.

¿Quién es ShinyHunters?

ShinyHunters es un grupo de extorsión conocido por robar datos de aplicaciones web y plataformas SaaS basadas en la nube, para luego exigir pagos de rescate a las organizaciones víctimas bajo la amenaza de filtrar la información sustraída.

El nombre ShinyHunters se ha asociado con numerosos actores de amenazas involucrados en brechas de seguridad de datos que se remontan, al menos, a 2018.

En los últimos dos años, los hackers que operan bajo el nombre de ShinyHunters han intensificado su actividad, llevando a cabo campañas de robo de datos y extorsión contra organizaciones de todo el mundo.

Las campañas recientes han tenido como objetivo Salesforce y otros entornos SaaS en la nube; estos actores de amenazas están vinculados a brechas que afectaron a empresas como Google, Cisco, PornHub y el gigante de las citas en línea Match Group.

En algunos ataques, el grupo vulneró empresas de integración de terceros y robó tokens de autenticación que luego utilizaron para acceder a entornos SaaS conectados y sustraer datos de clientes.

Más recientemente, ShinyHunters ha realizado campañas de *vishing* (phishing de voz) dirigidas a cuentas de inicio de sesión único (SSO) de Okta, Microsoft y Google, suplantando al personal de soporte técnico para engañar a los empleados y lograr que introduzcan sus credenciales y códigos de autenticación multifactor (MFA) en sitios de phishing.

Tal como informó inicialmente BleepingComputer, el grupo también ha empleado ataques de *vishing* basados en códigos de dispositivo para robar tokens de autenticación de cuentas de Microsoft.

Una vez obtenidas las credenciales y los códigos de autenticación, los atacantes utilizan las cuentas SSO comprometidas para acceder a plataformas empresariales conectadas, incluidas Salesforce, Microsoft 365, Google Workspace, SAP, Slack, Adobe, Atlassian, Zendesk y Dropbox.

ShinyHunters también estuvo detrás de un ataque masivo de robo de datos contra Instructure Canvas en mayo, el cual provocó importantes interrupciones en el servicio de la plataforma. Posteriormente, Instructure llegó a un "acuerdo" con los actores de amenazas para evitar que publicaran los datos sustraídos durante la brecha.

Además de perpetrar sus propias intrusiones, ShinyHunters operó como un grupo de "extorsión como servicio", ayudando a otros actores de amenazas a extorsionar a organizaciones que habían sido comprometidas. A lo largo de los años, las fuerzas del orden han detenido a numerosos sospechosos en casos vinculados al nombre ShinyHunters, incluidos individuos relacionados con los ataques de robo de datos a Snowflake, las brechas de seguridad en PowerSchool y la operación del foro de piratería informática Breached v2.

A pesar de estas detenciones, los ciberdelincuentes siguieron operando bajo el nombre de ShinyHunters mientras llevaban a cabo ataques de robo de datos y extorsión contra organizaciones de todo el mundo.

Fuente:
BleepingComputer
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

FBI arresta a otro hacker de ShinyHunters tras la intrusión en la agencia

AXCESS

Octubre 09, 2026, 03:27:08 PM