ShinyHunters hackeó el sitio de empleos del FBI. ¿Qué revela su racha de ataques?

En mayo, el FBI advirtió al público sobre ShinyHunters después de que el grupo denunciara un ataque a Canvas, una plataforma de aprendizaje empleada por escuelas y universidades. Estudiantes y educadores de todo el país perdieron el acceso, algunos en medio de los exámenes finales.

Cuatro meses después, el FBI advirtió a sus propios empleados. ShinyHunters afirmó robar datos sensibles de la web de empleo de la agencia y cobró la venganza por esa advertencia de mayo. Un memorándum interno indicaba que los funcionarios asumían que la información de todos los empleados del FBI fue expuesta.

El incumplimiento del FBI fue el más ruidoso de varios ataques ese mes. ShinyHunters también afirmó tomar el sitio web oscuro de Cl0p, un grupo rival de extorsión, y convertirlo en un objetivo de extorsión. Mientras tanto, los investigadores de amenazas de Google documentaron una campaña renovada contra compañías y escuelas que emplean Oracle PeopleSoft.

Luego el FBI habló directamente con los hackers. El 29 de septiembre, tras la detención de la policía holandesa de un hombre al que el FBI calificó como "uno de los supuestos líderes" de ShinyHunters, el subdirector del FBI, Brett Leatherman, publicó un mensaje directo en video: "Sabes cómo encontrarnos, y nosotros sabemos cómo encontrarte a ti."

Aunque los recientes ataques de ShinyHunters lo pusieron en el punto de mira, la lección para los defensores es familiar: un atacante puede entrar empleando sofisticada ingeniería social, una aplicación en la nube o una vulnerabilidad de software. Pero lo que ocurra después depende del acceso y las conexiones disponibles tras el primer punto de apoyo. Los ciberataques de ShinyHunters en los últimos años demuestran por qué las organizaciones necesitan identificar puertos abiertos, limitar el movimiento lateral y contener actividades sospechosas antes de que se pueda propagar un solo compromiso.

¿Quién está detrás de ShinyHunters?

ShinyHunters se hizo conocido por primera vez en 2020 por robar y vender grandes cantidades de datos de clientes. Hoy en día, forma parte de una red laxa de ciberdelincuentes cuyas alianzas y tácticas cruzan fronteras. Google Amenaza Intelligence Group rastrea varios grupos vinculados a la marca de extorsión ShinyHunters. Los investigadores también encontraron tácticas y señales de colaboración con la araña dispersa. Eso incluye llamadas de phishing por voz, o vishing, que se hacen pasar por soporte informático para acceder a aplicaciones en la nube. Estas superposiciones difuminan las líneas entre los grupos de amenaza. Eso dificulta saber quién llevó a cabo un ataque.

El FBI advierte que los ShinyHunters pueden presionar a las víctimas y a sus familias con amenazas y, a veces, llamadas de emergencia falsas que envían a la policía a sus casas. El grupo también puede exagerar su acceso o la cantidad de datos robados.

Cronología de los ataques de ShinyHunters

• 2020: ShinyHunters llamó la atención vendiendo grandes conjuntos de datos robados. Entre ellos se encontraban registros de Tokopedia y Unacademy, una plataforma educativa.
• 2024: El grupo afirmó robar datos de 560 millones de clientes de Ticketmaster. AT&T también perdió los registros de llamadas y mensajes de clientes y , según se informa, pagó a un hacker para que los borrara. Ambos incidentes involucraron datos almacenados en cuentas de clientes de Snowflake. Los investigadores descubrieron que los atacantes usaron accesos robados.
• 2025: En una campaña dirigida a clientes de Salesforce, los atacantes se hicieron pasar por personal de soporte informático. Llamaron a empleados y les engañaron para que aprobaran una aplicación que permitía a los atacantes robar datos.
• Principios de 2026: Los investigadores descubrieron que los atacantes usaron llamadas telefónicas y páginas falsas de inicio de sesión para robar contraseñas y códigos de seguridad para acceder a datos sensibles.
• Mayo de 2026: ShinyHunters afirmó sufrir un ataque a Canvas que dejó la plataforma fuera de servicio para escuelas de todo el país. El FBI advirtió al público el 15 de mayo.
• Mayo–junio 2026: En una campaña separada, Mandiant descubrió que los atacantes usaron un fallo en Oracle PeopleSoft para vulnerar escuelas y universidades.
• Agosto de 2026: El proveedor de tecnología bancaria Jack Henry confirmó un ataque de ShinyHunters que comenzó con phishing por voz. La compañía afirmó que sus plataformas bancarias principales no fueron accedidas ni interrumpidas y que no pagaría la demanda de extorsión.
• Septiembre de 2026: ShinyHunters afirmó que tomó el control del sitio de Cl0p y exigió un pago al grupo criminal rival. Días después, afirmó un ataque en el sitio de empleo del FBI, que la agencia dijo estar investigando. El 25 de septiembre, Mandiant informó de otra oleada de ataques de PeopleSoft en varias industrias.

El episodio de Cl0p muestra el patrón en miniatura. ShinyHunters dijo que encontró un fallo en la subida de archivos en el software detrás del sitio de su rival. A partir de ahí, afirmó tomar el código fuente, los registros y las claves de su dirección en la dark sitio web. Luego exigió el pago. Un punto débil abría la puerta a todo lo que había detrás.

¿Qué ocurre luego del punto de apoyo?

En su investigación en PeopleSoft, Mandiant descubrió que los atacantes intentaron usar contraseñas para acceder a otros servidores internos. Forzar la entrada les dio un punto de partida. Las conexiones abiertas les dieron lugares a los que ir. En la ola de septiembre, Mandiant vio al grupo instalar herramientas de túnel que le permitieron explorar redes internas y mover lateralmente desde el servidor PeopleSoft.

Para Christer Swartz, director de soluciones industriales en Illumio, el método de entrada es solo el comienzo de la historia. "Eventualmente, llegará una amenaza", dijo Swartz. "Y parecerá mover por el entorno." Un servidor puede necesitar acceso a una base de datos, por ejemplo, pero puede tener poca razón para contactar con una larga lista de servidores pares. Esa diferencia puede ayudar a los defensores a detectar a un atacante que busca una forma de mover. Swartz expuso tres formas en que los defensores pueden limitar ese alcance.

Visualiza el movimiento

Una contraseña robada puede hacer que un atacante parezca un usuario legítimo. Sus siguientes acciones pueden contar una historia diferente. Un servidor que normalmente se comunica con una base de datos podría intentar de repente contactar con varios sistemas cercanos. Conexiones fallidas repetidas podrían indicar que alguien está adivinando contraseñas. Una transferencia de datos grande también podría justificar una revisión más detallada. "Es clave poder ver todo el movimiento", dijo Swartz. Saber qué conexiones son normales ayuda a los equipos a detectar cambios y decidir dónde investigar.

Cerrar caminos innecesarios

La visibilidad también ayuda a los equipos a determinar qué conexiones necesita un sistema. La segmentación puede entonces restringir el resto, dando al atacante menos rutas a otros sistemas y activos críticos. "Cerrad todas las sesiones que no sean necesarias", dijo Swartz.

Las conexiones permitidas también necesitan atención. Un atacante puede usar una cuenta válida y una ruta legítima, por lo que los defensores deben vigilar cómo se emplean esas conexiones.

Contener actividades sospechosas

Los equipos no siempre conocen el alcance total de un incumplimiento cuando lo detectan por primera vez. Ver un servidor comprometido intentando acceder a otros sistemas puede ayudarlos a decidir qué aislar. Swartz dijo que los equipos necesitan una razón clara para poner en cuarentena un sistema. Un inicio de sesión con credenciales válidas puede no parecer sospechoso "hasta que empiece a comportar de forma extraña".

La contención puede interrumpir ese movimiento mientras los intervinientes investigan. Si los atacantes también mantienen sesiones en la nube o acceso a través de aplicaciones conectadas, los equipos también deben revocar ese acceso.

Un punto de apoyo no debería convertir en un incumplimiento más ancho

Leatherman dijo a ShinyHunters que el FBI sabe cómo encontrarlos. Dentro de sus propias redes, los defensores deben poder decir lo mismo. El próximo objetivo de ShinyHunters puede ser una escuela, un banco u otra banda rival, y su entrada probablemente será nueva. La pregunta que sigue sigue siendo la misma: una vez que los atacantes aterrizan, ¿hasta dónde pueden llegar? Los equipos que puedan ver cómo se conectan sus sistemas, cerrar los caminos que no necesitan y aislar rápidamente un sistema comprometido tendrán una mejor respuesta. Así es como un punto de apoyo sigue siendo un punto de apoyo en lugar de convertir en el siguiente titular.

Los atacantes encontrarán la forma de entrar. Lo que importa es hasta dónde pueden llegar una vez allí.

Illumio te ayuda a visualizar rutas de ataque, limitar el movimiento lateral y contener amenazas antes de que se propaguen.

Mira cómo Illumio contiene incumplimientos.