Según los informes, investigadores federales de Estados Unidos sospechan que ejecutivos vinculados a empresas de negociación de ransomware mantenían relaciones inusualmente estrechas con ShinyHunters, y que un ejecutivo de una gran consultora estadounidense ayudó a operar el sitio de extorsión del grupo.
Las afirmaciones proceden de una investigación de KrebsOnSecurity, basada en gran medida en fuentes anónimas, registros judiciales y reportajes publicados anteriormente. Según el informe, el ejecutivo de la consultora, que no ha sido identificado, no ha sido acusado.
Una segunda figura, el ejecutivo canadiense de ciberseguridad Edward Dubrovsky, se enfrenta a cargos relacionados con amenazar con divulgar datos robados e interferir en el comercio interestatal mediante extorsión. KrebsOnSecurity informó de su arresto el 9 de octubre. La presunta conexión entre el caso de Dubrovsky y ShinyHunters procede de las fuentes de la publicación, no de los cargos descritos públicamente.
Shinywire funcionaba como una plataforma de presión para el pago
El vínculo operativo en disputa gira en torno a shinywire[.]com, un sitio de extorsión que Krebs asegura que empezó a estar activo alrededor del 3 de mayo de 2026. El dominio estaba fuera de servicio para el 16 de octubre.
El sitio contenía fichas de casi 100 organizaciones que ShinyHunters afirmaba haber comprometido. Cada página intentaba llevar a la organización a negociar el pago, mostraba muestras de archivos presuntamente robados y amenazaba con publicarlos si no se atendía la exigencia.
Según los informes, las organizaciones que no respondieron en un plazo de siete días pasaban a un sitio independiente de ShinyHunters dedicado a avergonzar a las víctimas, accesible a través de Tor. Que haya casi 100 fichas significa que se trata de organizaciones nombradas por los atacantes, no de un recuento confirmado de intrusiones exitosas ni de personas afectadas.
Una de las organizaciones listadas era Intuitive Surgical. Según el informe, la empresa estadounidense de tecnología médica sufrió una brecha en marzo de 2026, después de que un mensaje de phishing dirigido comprometiera las credenciales de un empleado. Ese incidente describe un punto de entrada concreto y no debe tomarse como el método utilizado contra todas las organizaciones del sitio.
Dos fuentes anónimas le dijeron a Krebs que los investigadores del FBI creen que al menos un ejecutivo de una consultora estadounidense con más de 1000 asociados ayudaba activamente a dirigir Shinywire. Ni la firma ni el presunto ejecutivo han sido identificados.
Según los informes, los mensajes de Signal ampliaron la investigación
Las autoridades neerlandesas arrestaron a Pepijn van der Stap, un hacker condenado y presunto participante de ShinyHunters, la noche del 15 de septiembre de 2026. Según los informes, la policía utilizó granadas aturdidoras mientras él tenía sesión iniciada en cuentas en línea.
Una fuente anónima afirmó que Van der Stap usaba Signal en ese momento, lo que permitió a los investigadores leer conversaciones recientes con contactos frecuentes. Según se afirma, entre esos contactos figuraban negociadores de ransomware de Canadá y Estados Unidos.
Según la descripción de los mensajes que hizo la fuente, Van der Stap se comunicaba con regularidad con Dubrovsky y con al menos un ejecutivo de una gran consultora estadounidense. Según esa fuente, los ejecutivos a veces conocían objetivos recién comprometidos por ShinyHunters antes de que las propias organizaciones se enteraran.
La misma fuente afirmó que Dubrovsky sabía que ShinyHunters había obtenido información sensible del FBI, pero que no advirtió a la agencia antes de que el grupo amenazara con publicarla en Twitter/X.
A finales de septiembre, según los informes, ShinyHunters violó fbijobs.gov, el sitio de reclutamiento del FBI. El grupo afirmó tener en su poder registros médicos y psicológicos, números de la Seguridad Social, direcciones particulares e información sobre las unidades y especialidades de los empleados. El contenido reclamado no establece por sí solo el alcance total de ningún robo.
Dubrovsky se enfrenta a cargos relacionados con extorsión
Dubrovsky, de 54 años, está acusado de amenazar con divulgar información robada o pirateada e interferir en el comercio interestatal mediante extorsión, según los registros judiciales que describe Krebs. Según los informes, los fiscales han pedido que permanezca bajo custodia hasta el juicio. Los registros están sellados y no se ha informado de ninguna condena.
Dubrovsky había sido socio gerente y director de operaciones de Cypfer, con sede en Toronto. El 14 de octubre, Cypfer afirmó que se enteró de su arresto a través de la cobertura de los medios y que no tenía conocimiento previo. La empresa también dijo que las fuerzas del orden no se habían puesto en contacto con ella y que, según sus datos, no era objeto de ninguna investigación.
Cypfer afirmó que su negocio no incluye hacer ni facilitar pagos de ransomware. También dijo que Cypfer y CyberSteward Inc., empresa vinculada a una disputa comercial distinta en la que participa Dubrovsky, no comparten ningún directivo, consejero ni empleado.
Estas son declaraciones de las empresas. No resuelven las acusaciones basadas en fuentes anónimas sobre Dubrovsky ni sobre el ejecutivo estadounidense no identificado.
El riesgo inmediato no es una vulnerabilidad de software
Las acusaciones describen un posible problema de personal interno y de cadena de suministro dentro de los servicios de respuesta a ransomware, y no un fallo técnico que las organizaciones puedan corregir con un parche. Como contexto general, el Departamento de Justicia afirmó en un caso aparte relacionado con BlackCat que el negociador de ransomware Angelo Martino proporcionó a los atacantes información confidencial sobre las posiciones y estrategias de negociación de los clientes, lo que permitió maximizar los pagos de rescate. El informe sobre ShinyHunters no establece que la misma información se haya revelado en esta campaña.
Como medida general de control de riesgos, las organizaciones que contraten a este tipo de proveedores deberían limitar el acceso a la estrategia de negociación y mantener registros que muestren quién ha visto o compartido material sensible de los casos.
Según los informes, Coveware y Unit 221B aconsejan a las víctimas que no paguen a ShinyHunters, porque la información robada puede seguir en poder del grupo, venderse o usarse en otro intento de extorsión. Por tanto, una promesa de pago o de eliminación no debe tomarse como prueba de que los datos expuestos han sido destruidos.
