Perfil del actor de amenazas

ShinyHunters

ShinyHunters es una operación de cibercrimen y extorsión motivada financieramente que ha estado activa desde al menos 2019. El grupo es más conocido por el robo de datos a gran escala, intrusiones enfocadas en SaaS y extorsión de tipo "paga o se filtra". Sin afiliación confirmada (o abierta) con un estado-nación, el grupo se ha establecido como una de las bandas de robo de datos y extorsión más prolíficas del mundo, dirigiéndose a plataformas SaaS, entornos en la cloud y proveedores de identidad empresarial mediante ingeniería social sofisticada, robo de credenciales y exfiltración de datos a gran escala, seguido de demandas de rescate bajo un implacable modelo de "paga o se filtra".

Perfil del actor de amenazas

ShinyHunters

País de origen

ShinyHunters no tiene un país de origen confirmado. Se cree que el grupo está descentralizado y distribuido internacionalmente. Entre los afiliados arrestados conocidos se incluyen un ciudadano francés (Sébastien Raoult, arrestado en Marruecos en 2022 y extraditado a EE. UU.) y al menos cuatro personas más arrestadas en Francia en junio de 2025, lo que sugiere vínculos europeos. Sin embargo, los investigadores en general consideran que el grupo más amplio es un colectivo multinacional disperso con miembros en varios países. Ningún estado-nación ha sido formalmente atribuido como la base de operaciones del grupo.

El arresto en septiembre de 2026 de un ciudadano neerlandés en los Países Bajos se suma al patrón de vínculos europeos. Sin embargo, una detención reportada en Jordania el 29 de septiembre de un presunto miembro que usa el alias "Rey" (Saif al-Din Khader) apunta más allá de Europa. Su nacionalidad no se ha reportado públicamente, por lo que el arresto muestra dónde fue detenido, no de dónde es. En conjunto, los arrestos refuerzan la evaluación de los investigadores de que el grupo más amplio es un colectivo multinacional disperso sin una base de operaciones única.

Liderazgo

Ningún líder único ha sido confirmado públicamente, y la estructura descentralizada del grupo dificulta la atribución. El 29 de septiembre de 2026, el director del FBI Kash Patel anunció el arresto de uno de los "presuntos líderes" de ShinyHunters, realizado por la policía neerlandesa el 15 de septiembre con apoyo del FBI. El sospechoso es un hombre de 24 años de Ámsterdam, y un tribunal de Róterdam ha ordenado su detención preventiva por 90 días. Las autoridades neerlandesas no lo han identificado públicamente. ShinyHunters afirmó en un comunicado que el sospechoso no tiene "ninguna asociación" con el grupo.

La palabra "presunto" importa aquí: el lenguaje del FBI describe al sospechoso como uno de los líderes, no el líder, lo cual encaja con la estructura dispersa y de múltiples grupos del colectivo.

Miembros

ShinyHunters se describe mejor como un ecosistema criminal disperso que como una organización rígidamente estructurada. Los informes de Huntress describen a ShinyHunters, Scattered Spider y Lapsus$ como grupos que convergen en el ecosistema de amenazas SLSH/ShinySp1d3r más amplio, mientras que Google rastrea la actividad relacionada bajo varios clústeres distintos según la campaña y el rol, entre ellos UNC6240, UNC6661, UNC6671, UNC6395 y UNC6040. Esto sugiere superposición y colaboración, pero no una lista de miembros única y claramente delimitada. Se desconoce la cantidad exacta de miembros, y el nombre ShinyHunters se entiende mejor como una marca usada por una red fluida de afiliados criminales que como una nómina fija de individuos.

TTPs de ShinyHunters

tácticas

ShinyHunters está motivado principalmente por el beneficio financiero a través del robo de datos a gran escala y la extorsión. Los objetivos tácticos generales del grupo son:

Obtener acceso no autorizado a entornos empresariales alojados en la cloud, particularmente plataformas SaaS y proveedores de identidad.
Exfiltrar datos personales, financieros y de propiedad sensibles a una escala masiva.
Extorsionar a las organizaciones víctimas con un ultimátum de "paga o se filtra": si el rescate no se paga, los datos robados se publican en mercados de la dark web o en el propio sitio de filtración de datos (DLS) del grupo.
Dirigirse a sectores de alto valor, incluyendo tecnología, finanzas, educación, comercio minorista de lujo, telecomunicaciones e infraestructura crítica.
Escalar la presión sobre las víctimas mediante ataques de DDoS, desfiguración de sitios, acoso al personal y publicaciones de extorsión públicas.

técnicas

ShinyHunters se basa en una combinación de ingeniería social, abuso de identidad y técnicas de robo de datos enfocadas en SaaS:

Phishing de voz (vishing) para obtener credenciales de SSO y códigos de MFA de empleados, haciéndose pasar por personal de TI.
Sitios de robo de credenciales con la marca de la víctima que imitan portales internos de SSO, soporte o identidad.
Persistencia de MFA y evasión de defensas, lo que incluye registrar dispositivos de MFA controlados por el atacante y, en algunos casos, eliminar notificaciones de inscripción usando ToogleBox Recall.
Abuso de OAuth y de tokens de actualización que involucra integraciones de SaaS de terceros como Drift (desviación de configuración) y Gainsight para acceder a entornos de Salesforce posteriores. Según se informa, ShinyHunters también abusó de tokens de autenticación robados de Anodot y los usó para exfiltrar datos corporativos de grandes bases de datos como Google BigQuery, en incidentes de 2026 que involucraron intentos de extorsión contra Snowflake, Rockstar Games y Canvas.
Robo de datos de SaaS desde plataformas como Microsoft 365, SharePoint, Salesforce, Slack e implementaciones de Experience Cloud.
Extorsión por correo electrónico, Tox, muestras de prueba alojadas en Limewire y un sitio de filtración de datos con la marca ShinyHunters, con algunas campañas que también involucran acoso o presión mediante DDoS.

Procedimientos

ShinyHunters sigue un patrón repetible en sus campañas recientes:

Acceso inicial mediante vishing: los operadores llaman a empleados, se hacen pasar por personal de TI, los dirigen a un sitio de phishing con la marca de la víctima, capturan credenciales de SSO y códigos de MFA, y luego inscriben su propio dispositivo de MFA.
Expansión en SaaS después del compromiso: una vez dentro, los operadores acceden de forma oportunista a las apps de cloud disponibles a través de la sesión comprometida y buscan términos sensibles como `poc`, `confidential`, `internal`, `proposal`, `salesforce` y `vpn`.
Actividad de vishing en Salesforce en 2025: reportes públicos vincularon operaciones con la marca ShinyHunters a actividad de voice-phishing y extorsión centrada en Salesforce, rastreada como UNC6040 y UNC6240.
Abuso de tokens de Drift/Salesloft en agosto de 2025: se reportó que tokens de OAuth robados se usaron para acceder aproximadamente a 760 organizaciones de clientes de Salesforce posteriores en la cadena.
Abuso de tokens de Gainsight en noviembre de 2025: la actividad posterior afectó a más de 200 instancias de Salesforce potencialmente afectadas, y Salesforce revocó el acceso de OAuth relacionado durante la respuesta.
Campañas de vishing de enero de 2026: GTIG rastreó actividad relacionada como UNC6661 y UNC6671, que incluyó robo de credenciales, acceso a datos de SharePoint y OneDrive, y autorización de ToogleBox Recall en al menos algunos casos vinculados a Okta.
Compromiso de Anodot en 2026: actores de amenazas que se identificaron a sí mismos como ShinyHunters comprometieron y robaron tokens de autenticación en abril de 2026 de Anodot, que se describe a sí misma como un servicio de análisis de negocios mejorado con IA. Parece que ShinyHunters abusó repetidamente de esos tokens robados para comprometer bases de datos de al menos 13 grandes clientes corporativos de Anodot, como Snowflake, Rockstar Games y Canvas Instructure, a lo largo de abril y mayo de 2026.
Extorsión: las demandas posteriores se vincularon a UNC6240, con instrucciones de pago en BTC, plazos de 72 horas, muestras en Limewire, negociación por Tox y publicaciones en DLS.

¿Quieres detener las amenazas antes de que comiencen?

Ciberataques destacados de ShinyHunters

Campaña contra clientes de Snowflake (2024)

A mediados de 2024, ShinyHunters explotó credenciales robadas de un contratista —no una vulnerabilidad en la plataforma de Snowflake— para acceder a datos en la nube de clientes de Snowflake. Esta campaña resultó en el robo y la venta de datos de Ticketmaster (560 millones de registros), Santander Bank (30 millones de registros), AT&T (109 millones de registros de llamadas; AT&T pagó un rescate de $370.000 para eliminar los datos), Neiman Marcus (31 millones de registros) y docenas de otras organizaciones. El grupo usó una firma de herramienta distintiva llamada "RapeFlake" durante esta operación.

Campaña contra Salesforce de Salesloft/desviación de configuración — la mayor filtración de SaaS de la historia (ago.–sep. 2025)

ShinyHunters usó la herramienta de seguridad de código abierto TruffleHog para escanear repositorios de código fuente, y descubrió tokens de OAuth para la plataforma de correo electrónico desviación de configuración de Salesloft. Con esos tokens, el grupo accedió a aproximadamente 760 organizaciones clientes de Salesforce entre el 8 y el 18 de agosto de 2025, y exfiltró alrededor de 1.500 millones de registros de las tablas de datos de cuentas, contactos, casos, oportunidades y usuarios. Entre las víctimas confirmadas están Cloudflare, Workiva, Zscaler, Tenable, CyberArk, Elastic, BeyondTrust, Proofpoint, JFrog, Rubrik, Cato Networks y Palo Alto Networks. El equipo de Threat Intelligence de Google identificó esta actividad como UNC6395 y confirmó que tenía conocimiento de más de 700 organizaciones potencialmente afectadas.

Campaña contra Salesforce de Gainsight (nov. 2025)

En un ataque de seguimiento casi idéntico, ShinyHunters robó tokens de OAuth de la integración de Gainsight con Salesforce y accedió a aproximadamente 285 instancias de Salesforce (más de 200 confirmadas por Google). Entre las víctimas estaban Atlassian, DocuSign, F5, GitLab, Malwarebytes, SonicWall, Thomson Reuters y Verizon. Salesforce revocó todos los tokens de OAuth asociados y eliminó temporalmente las aplicaciones relacionadas de AppExchange durante el incidente.

Campaña de vishing empresarial contra SSO de Okta (ene. 2026)

Operando como UNC6661 y UNC6671, ShinyHunters se hizo pasar por personal de soporte de TI para engañar a empleados de organizaciones específicas y hacer que ingresaran sus credenciales de SSO de Okta y códigos de MFA en portales de phishing personalizados con la marca de la víctima. Tras obtener acceso, los atacantes exfiltraron datos de SharePoint, OneDrive, Salesforce y Slack. En algunos incidentes, el complemento de Gmail ToogleBox Recall fue autorizado de forma encubierta para eliminar los correos de notificación de inscripción de MFA. Entre las víctimas confirmadas están Wynn Resorts, Odido, Panera Bread, Betterment, Grubhub, la Universidad de Harvard, la Universidad de Princeton y la Universidad de Pensilvania.

Campaña de explotación de Salesforce Aura (mar. 2026)

En marzo de 2026, Salesforce emitió una alerta de seguridad advirtiendo sobre un "grupo de amenazas conocido" que explotaba desviaciones de configuración en Salesforce Experience Cloud (Aura). ShinyHunters se atribuyó la responsabilidad en su DLS, y advirtió a aproximadamente 400 empresas víctimas —incluidas Snowflake, Okta, LastPass y la propia Salesforce— que pagaran o enfrentaran filtraciones de datos. El grupo usó una versión modificada de la extensión de Chrome AuraInspector de Google junto con una herramienta de escaneo desarrollada a medida. Se observó la cadena de user-agent "RapeForce", que refleja la firma "RapeFlake" de la campaña anterior contra Snowflake.

Filtración de Instructure/Canvas (abr.–may. 2026)

ShinyHunters explotó tokens de credenciales robados previamente de Anodot para obtener acceso al entorno Free-for-Teacher de Instructure —relacionado con la gestión de tickets de soporte— y robó 275 millones de registros (3,65 TB de datos) de Canvas, uno de los sistemas de gestión de aprendizaje más usados del mundo, utilizado por más de 9.000 instituciones. Después de que una segunda ola de acceso no autorizado, el 7 de mayo de 2026, desfigurara los portales de inicio de sesión de Canvas en aproximadamente 330 instituciones con mensajes de extorsión, Instructure llegó a un acuerdo de rescate con el grupo antes del 12 de mayo de 2026 para evitar la filtración de datos. La empresa confirmó que no se comprometieron contraseñas ni contenido de los cursos.

Declaración sobre el portal de empleos del FBI (sep. 2026)

En septiembre de 2026, ShinyHunters afirmó haber desfigurado el sitio web de empleos del FBI y robado entre dos y tres terabytes de datos relacionados con personal y solicitantes del FBI y del Departamento de Justicia, y dijo que explotó una nueva vulnerabilidad en Oracle PeopleSoft. El grupo exigió que el FBI retractara un comunicado de servicio público sobre el grupo, y fijó un plazo para el 29 de septiembre. Tras anunciarse el arresto, el grupo dijo que ya no fijaba un plazo y que "esto no era una amenaza". La afirmación se reportó por primera vez el 22 de septiembre, después de que el sospechoso arrestado ya estaba bajo custodia, lo cual es una de las razones por las que el arresto no se ha vinculado públicamente a este incidente. El FBI dijo que estaba investigando la afirmación. Estos detalles provienen de las propias declaraciones del grupo y de reportes de prensa, y no se han confirmado de forma independiente.

Acciones policiales contra ShinyHunters

A pesar de la extensa actividad criminal del grupo, las acciones de las fuerzas del orden han sido limitadas en alcance y no han interrumpido significativamente sus operaciones:

Edward Dubrovsky, 54 años (Toronto, Canadá, 9 de octubre de 2026): El 9 de octubre de 2026, el director Patel anunció que el FBI había arrestado a otro "presunto coconspirador" a principios de esa semana, sin nombrarlo. Los registros judiciales lo identifican como Edward Dubrovsky, de 54 años, fundador e inversionista en ciberseguridad radicado en Toronto. Exdirector gerente de la firma de respuesta a incidentes Cypfer, Dubrovsky escribió un libro sobre la negociación con extorsionistas cibernéticos. Se le acusa de conspiración para amenazar con comprometer la confidencialidad de información con intención de extorsionar dinero, y de interferencia con el comercio mediante amenazas.
Saif al-Din Khader (Jordania, septiembre de 2026): Reuters informó el 3 de octubre que Khader, presunto miembro de ShinyHunters que usa el alias "Rey", fue detenido en Jordania el 29 de septiembre y, según se informa, está cooperando con el FBI para identificar a otros miembros del grupo. El periodista Brian Krebs había descrito anteriormente a Khader como el operador técnico y la cara pública de Scattered LAPSUS$ Hunters, y Khader confirmó su identidad a Krebs en 2025. El FBI se negó a comentar sobre arrestos específicos, pero confirmó el 5 de octubre que, junto con sus socios, ha arrestado a varios sujetos en la investigación. Mientras tanto, ShinyHunters no respondió a las preguntas de The Register sobre su presunta participación.
Policía Nacional de los Países Bajos y FBI (septiembre de 2026): la policía neerlandesa arrestó a Pepijn van der Stap el 15 de septiembre bajo sospecha de ser miembro de ShinyHunters. Brett Leatherman, Assistant Director de la División Cibernética del FBI, dijo que el grupo presuntamente ha vulnerado más de 140 organizaciones desde el año pasado y ha obtenido al menos $70 millones en pagos de extorsión. Los investigadores incautaron varios dispositivos de almacenamiento de datos y los están examinando, y las autoridades han dicho que podrían producirse más arrestos. En una declaración en video, Leatherman se dirigió directamente a los miembros restantes, diciéndoles que el público no conoce todo lo que saben los investigadores.
Sébastien Raoult (Francia, 2022–2024): un ciudadano francés fue arrestado en Marruecos en mayo de 2022 y extraditado a Estados Unidos. En enero de 2024, Raoult fue sentenciado a tres años de prisión y condenado a pagar $5 millones en restitución por su papel en una conspiración de fraude electrónico y robo de identidad agravado. Los fiscales estadounidenses señalaron que había trabajado con el grupo durante más de dos años, pero no era una figura importante dentro de la organización.
Matthew D. Lane (EE. UU., 2025): un estudiante de 19 años de Massachusetts fue acusado en mayo de 2025 de hackear y extorsionar a un proveedor de tecnología educativa (ampliamente reportado como PowerSchool), usando credenciales robadas de un contratista para exfiltrar datos de decenas de millones de estudiantes y exigir un rescate de $2,85 millones en bitcoin. Lane se declaró culpable el 6 de junio de 2025.
Arrestos en Francia (junio de 2025): las autoridades francesas anunciaron el arresto coordinado de cuatro personas asociadas con ShinyHunters en varias regiones de Francia. Los alias señalados incluían "ShinyHunters", "Hollow", "Noct" y "Depressed". Los investigadores y el propio grupo indicaron que los arrestados eran afiliados, no el liderazgo principal, ya que el grupo continuó sus operaciones sin interrupción.
FBI, Policía de Indonesia, Policía de India: varias agencias abrieron investigaciones tras la filtración de Tokopedia (2020) y las denuncias posteriores presentadas en Estados Unidos por empresas como Minted. Dave.com y BigBasket también coordinaron con las fuerzas del orden locales tras sus respectivas filtraciones.
Centro Nacional de Ciberseguridad del Reino Unido (NCSC/GCHQ): monitorea las actividades del grupo tras la filtración de la Agencia de Asistencia Jurídica y el ciberataque a Jaguar Land Rover en 2025.
La estructura descentralizada del grupo ha limitado hasta ahora el impacto de los arrestos individuales. En respuesta al arresto de septiembre de 2026, ShinyHunters negó públicamente que el sospechoso estuviera afiliado al grupo. Queda por ver si este arresto interrumpe significativamente sus operaciones, y los defensores deben asumir que las tácticas del grupo siguen activas.

Cómo defenderte de ShinyHunters

Implementa MFA resistente a phishing: Reemplaza la autenticación basada en notificaciones push y SMS con llaves de seguridad FIDO2 o passkeys. Estos métodos son resistentes a la ingeniería social en tiempo real y a los ataques de adversario en el medio que ShinyHunters emplea habitualmente. Google y Okta recomiendan explícitamente este paso en respuesta a estas campañas.

Aplica políticas de acceso condicional: Bloquea los inicios de sesión desde IP anonimizadas (Mullvad, Oxylabs, 9Proxy, etc.), exige verificaciones de cumplimiento del dispositivo y requiere condiciones de red confiables para el acceso mediante SSO.

Monitorea los nuevos registros de dispositivos MFA: Activa alertas ante cualquier dispositivo nuevo registrado en las cuentas de los usuarios, especialmente si ocurre fuera de las ventanas de cambio de TI o desde geolocalizaciones inusuales.

Audita regularmente las autorizaciones de aplicaciones OAuth: Revisa y revoca las aplicaciones OAuth innecesarias conectadas a tu proveedor de identidad y a tus plataformas SaaS. Investiga de inmediato cualquier evento de autorización inesperado, especialmente para herramientas como ToogleBox Recall.

Limita los permisos de integración SaaS a SaaS: Aplica el privilegio mínimo a todas las integraciones OAuth. Las integraciones de SaaS de terceros (por ejemplo, herramientas de analítica, CRM y correo electrónico) deben tener acceso de solo lectura cuando sea posible y revisarse trimestralmente.

Realiza security awareness training: Capacita a los empleados para que verifiquen la identidad de cualquier persona que llame afirmando ser del soporte de TI antes de tomar cualquier acción. Establece un procedimiento claro de devolución de llamada usando números de contacto verificados de los directorios internos.

Detección y respuesta

Busca indicadores de comportamiento: Monitorea SIEM/XDR en busca de descargas masivas de SharePoint/OneDrive, acceso a archivos basado en PowerShell, actividad de Salesforce Data Loader, eventos de acceso a documentos de alto volumen y búsquedas sospechosas de palabras clave en SharePoint ("poc", "confidential", "vpn", "salesforce").
Monitorea eventos de eliminación de correos: Activa alertas ante la eliminación de correos relacionados con MFA en Exchange/Gmail (por ejemplo, correos con asuntos que coincidan con "new MFA device", "security method enrolled", "factor activated").
Integra feeds de inteligencia de amenazas: Suscríbete a los paquetes de reglas de Google Security Operations (Okta, Cloud Hacktool, O365) para detecciones específicas alineadas con las TTPs de ShinyHunters.
Implementa monitoreo de la web oscura: Monitorea la aparición de datos de tu organización en sitios de paste, en el sitio de filtración de datos de ShinyHunters o en foros de hackers donde el grupo vende y subasta datos robados.

Prueba Huntress gratis

Referencias

Detecta, responde, protege

Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.

Prueba Huntress gratis