El FBI detiene a otro presunto hacker de ShinyHunters tras la brecha en la agencia

El FBI ha detenido a otro presunto integrante del grupo de extorsión ShinyHunters, supuestamente implicado en la reciente intrusión en los sistemas de la agencia. Así lo anunció el viernes el director del FBI, Kash Patel, a través de su cuenta en X.

"Nuestros agentes sobre el terreno han arrestado a otro presunto co-conspirador del grupo ShinyHunters, la organización que se cree responsable del reciente incidente en FBIjobs.gov, ocurrido en una plataforma gestionada por un proveedor externo", declaró Patel. "Es la última detención que este FBI ha realizado en cuestión de días en relación con esta red, mientras trabajamos sin descanso para desmantelar al grupo, seguir nuevas pistas y pruebas, y actuar con rapidez".

Aunque Patel no identificó al sospechoso ni precisó dónde se produjo la detención, The New York Times informó de que se trata de un ciudadano canadiense arrestado en Pensilvania y considerado un co-conspirador principal en la intrusión. Las autoridades no han hecho públicos ni su nombre ni los cargos concretos que se le imputan.

Esta detención es la última de una serie de acciones policiales contra ShinyHunters desde que el grupo de piratas informáticos vulnerara los sistemas del FBI el mes pasado. ShinyHunters declaró a BleepingComputer en septiembre que accedió a los sistemas del FBI explotando una supuesta vulnerabilidad de día cero en Oracle PeopleSoft antes de desplazarse lateralmente hacia la infraestructura de AWS GovCloud gestionada por la agencia.

Los atacantes afirmaron haber robado entre 2 y 3 terabytes de datos, incluida información de empleados actuales y antiguos del FBI, solicitantes de empleo, historiales médicos y psiquiátricos, y registros internos de servicio. Las muestras de datos compartidas con BleepingComputer y otros medios confirmaron que la brecha expuso información variada de los empleados, como direcciones particulares, números de la Seguridad Social, asignaciones laborales sensibles, datos de familiares y otra información personal.

El NY Times también informó de que un memorando interno del FBI indicaba que la agencia asumía que la brecha había afectado a todos los empleados. Posteriormente, el FBI señaló que el incidente se originó en una plataforma gestionada por un contratista externo que no había instalado una actualización de seguridad.

Desde el hackeo de FBIJobs, la oficina ha incrementado notablemente la presión para identificar y capturar a la banda de extorsión ShinyHunters. El 15 de septiembre, la policía neerlandesa detuvo a un hombre de 24 años en Ámsterdam en el marco de una investigación sobre el grupo. El sospechoso fue identificado como Pepijn van der Stap, un hacker neerlandés conocido anteriormente en internet como "Umbreon".

ShinyHunters negó que van der Stap tuviera relación con el grupo y declaró entonces a BleepingComputer: "Ese individuo no tiene ninguna asociación con nosotros. Francamente, nos reímos".

Poco después, el FBI tomó la medida inusual de advertir públicamente a los miembros de ShinyHunters que se entregaran, afirmando que los investigadores seguían identificando a personas vinculadas al grupo. "Las detenciones tienen la virtud de cambiar quién está dispuesto a hablar, y la infraestructura incautada tiene la virtud de mostrarnos quién queda", dijo entonces Brett Leatherman, director adjunto de la División Cibernética del FBI. "Cuanto más tiempo permanezcas en esto, más aprenderemos sobre ti. Sabes cómo encontrarnos y nosotros sabemos cómo encontrarte. Sugiero que te pongas en contacto primero mientras la elección aún sea tuya".

Días después, un presunto miembro de ShinyHunters conocido en internet como "Rey" fue supuestamente detenido en Jordania y comenzó a cooperar con el FBI y agencias internacionales de aplicación de la ley. Reuters informó de que las autoridades jordanas detuvieron a Rey, identificado como Saif al-Din Khader, y que fuentes señalaron que estaba ayudando a los investigadores a localizar a otros presuntos integrantes del grupo.

Al mismo tiempo empezaron a aparecer signos de desorganización dentro de ShinyHunters. El principal representante del grupo, que se comunicaba habitualmente con BleepingComputer y otros periodistas y tenía un conocimiento detallado de los ataques de ShinyHunters en los últimos dos años, dejó de responder en Telegram el martes pasado. Esa cuenta de Telegram parece haber sido eliminada.

El mismo representante siguió comunicándose con BleepingComputer después de la detención de van der Stap, lo que sugiere que este no era la persona que operaba la cuenta. Cerca del momento de la detención de Rey, otro presunto afiliado de ShinyHunters con conocimiento detallado del hackeo al FBI cerró una cuenta de mensajería en línea, y el sitio de filtraciones del grupo quedó fuera de servicio. Posteriormente se lanzó un nuevo sitio de filtraciones de ShinyHunters, lo que indica que al menos algunos miembros de la operación seguían activos. No está claro si la desaparición del principal representante del grupo está relacionada con alguna de las detenciones recientes.

"Seguiremos trabajando estrechamente con nuestros socios para desarticular lo que queda del grupo ShinyHunters y sus asociados, sin importar dónde operen", afirmó Patel el viernes.

¿Quién es ShinyHunters?

ShinyHunters es un grupo de extorsión conocido por robar datos de aplicaciones web y plataformas SaaS en la nube, y luego exigir pagos de rescate a las organizaciones víctimas bajo la amenaza de filtrar la información sustraída. El nombre ShinyHunters se ha vinculado a numerosos actores de amenazas implicados en brechas de datos que se remontan al menos a 2018.

En los últimos dos años, los piratas informáticos que operan bajo el nombre ShinyHunters han sido especialmente activos, llevando a cabo campañas de robo de datos y extorsión contra organizaciones de todo el mundo. Sus campañas recientes se han dirigido a Salesforce y otros entornos SaaS en la nube, con vínculos a brechas que afectaron a empresas como Google, Cisco, PornHub y el gigante de citas en línea Match Group.

En algunos ataques, el grupo vulneró a empresas de integración externas y robó tokens de autenticación que luego podían usarse para acceder a entornos SaaS conectados y sustraer datos de clientes. Más recientemente, ShinyHunters ha llevado a cabo campañas de phishing de voz (vishing) dirigidas a cuentas de inicio de sesión único (SSO) de Okta, Microsoft y Google, haciéndose pasar por personal de soporte técnico para engañar a los empleados y que introdujeran credenciales y códigos de autenticación multifactor (MFA) en sitios de phishing. Como informó primero BleepingComputer, el grupo también ha utilizado ataques de vishing con código de dispositivo para robar tokens de autenticación de cuentas de Microsoft.

Una vez que obtienen credenciales y códigos de autenticación, los atacantes utilizan las cuentas SSO comprometidas para acceder a plataformas empresariales conectadas, como Salesforce, Microsoft 365, Google Workspace, SAP, Slack, Adobe, Atlassian, Zendesk y Dropbox.

ShinyHunters también estuvo detrás de un enorme ataque de robo de datos contra Instructure Canvas en mayo, que provocó interrupciones significativas en la plataforma. Instructure llegó después a un "acuerdo" con los actores de amenazas para evitar que publicaran los datos robados en la brecha. Además de llevar a cabo sus propias intrusiones, ShinyHunters también operaba como un grupo de extorsión como servicio, ayudando a otros actores de amenazas a extorsionar a las organizaciones que habían comprometido.

Las fuerzas de seguridad han detenido a numerosos sospechosos a lo largo de los años en casos vinculados al nombre ShinyHunters, incluidas personas relacionadas con los ataques de robo de datos a Snowflake, las brechas en PowerSchool y la operación del foro de hacking Breached v2. A pesar de estas detenciones, los cibercriminales han continuado operando bajo el nombre ShinyHunters mientras llevaban a cabo ataques de robo de datos y extorsión contra organizaciones de todo el mundo.

Diseña tu plan de seguridad para ataques impulsados por IA

Únete a Mikko Hyppönen y a líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre cómo los ataques a velocidad de IA cambian el panorama, qué deberían dejar de hacer los defensores y cómo validar, decidir, corregir y volver a validar a velocidad de máquina.