En un giro dramático para el inframundo del cibercrimen, un hacker misterioso conocido como “James” ha filtrado la base de datos completa de usuarios de BreachForums, un notorio foro de la Dark Web que sirve como centro para el comercio de datos robados y discusiones sobre hacking.

La brecha, anunciada el 9 de enero de 2026 a través del sitio shinyhunte.rs, expone metadatos de más de 323,986 usuarios, incluyendo administradores, moderadores y miembros regulares, lo que podría condenar a muchos a la vigilancia de las fuerzas del orden.

Este incidente subraya la ironía de los cibercriminales convirtiéndose en víctimas de sus propias vulnerabilidades.

Brecha de datos en BreachForums

BreachForums surgió en 2022 como sucesor de RaidForums, que las autoridades estadounidenses incautaron en medio de investigaciones sobre tráfico de datos.

El foro, impulsado por el software MyBB, facilitaba la venta de conjuntos de datos vulnerados, herramientas de hacking y servicios ilícitos, a menudo alojados a través de DDoS-Guard y espejos en Tor, a pesar de repetidos cierres.

Entre las interrupciones clave se incluyen el arresto en 2023 del fundador Conor Fitzpatrick, quien recibió una condena de 20 años bajo libertad supervisada, y una incautación de dominio en 2024 que los operadores ShinyHunters recuperaron rápidamente.

ShinyHunters, vinculado a grupos como Scattered LAPSUS Hunters, relanzó el sitio múltiples veces, sobreviviendo a arrestos en Francia en junio de 2025 y a incautaciones del FBI de portales de extorsión. La resiliencia del foro dependía de cambios frecuentes de dominio y su presencia en la Dark Web, pero las fallas subyacentes de MyBB resultaron fatales.

La base de datos MySQL filtrada, de la tabla “hcclmafd2jnkwmfufmybbusers”, revela nombres de usuario, contraseñas hasheadas (Argon2), correos electrónicos, direcciones IP, fechas de registro y claves PGP de cuentas de alto perfil como ShinyHunters, Hollow e IntelBroker.

El análisis muestra que hay 4 administradores, 3 supermoderadores y 6 moderadores, con usuarios originarios principalmente de EE.UU. (la mayor parte), Alemania, Países Bajos, Francia, Turquía, Reino Unido y regiones de MENA como Marruecos y Egipto.

Capturas de pantalla de las imágenes adjuntas muestran la página shinyhunte.rs con el manifiesto “DOOMSDAY: The Story of James” y un gráfico circular que visualiza los países de los usuarios, destacando el dominio de EE.UU. James afirma que la brecha surgió de una vulnerabilidad en una aplicación web o una mala configuración, convirtiendo el refugio de los criminales en una responsabilidad.

Bajo el estandarte “Doomsday”, James se presenta como un “depredador” que trasciende generaciones, jactándose de infiltraciones en Google, Microsoft, el FBI, la NSA y más.

Menciona a operadores presuntos como Dorian Dali (Kams), Nahyl Ojeda (INDRA), Ali Aboussi (Kernel) y los fundadores Prosox/Kuroish, prometiendo su caída por traicionar un propósito superior. Dirigiéndose a lectores franceses, James se posiciona como un protector contra estos “niños” que alguna vez mentorizó, vinculándolos a actividades antifrancesas.

El texto mezcla el folclore hacker con diatribas filosóficas sobre el poder, el mal y la redención, evocando manifiestos underground del pasado.

Esta herida autoinfligida expone riesgos de texto plano incluso en sitios de la Dark Web, aumentando las amenazas de arresto en medio de redadas globales. Las víctimas enfrentan doxxing, mientras las fuerzas del orden obtienen pistas sobre derivados de ShinyHunters dentro de la red “The Com”. Resecurity, que compartió el volcado para análisis, advierte sobre interrupciones más amplias en redes de extorsión que apuntan a empresas como Salesforce.

Mientras James declara “no hay lugar para esconderse”, la saga de BreachForums ilustra la fragilidad del cibercrimen, donde los depredadores son devorados por uno mayor.