El grupo cibercriminal ShinyHunters ha alegado ser responsable de tres brechas de datos distintas dirigidas contra Cisco Systems, Inc., afirmando que más de 3 millones de registros de Salesforce que contienen información personal identificable (PII), repositorios de GitHub, cubos de AWS S3 y otros datos corporativos internos sensibles han sido comprometidos. El investigador de seguridad Dominic Alvieri detalló que en el sitio de filtración de datos de ShinyHunters.

El notorio grupo de ciberdelincuentes ShinyHunters ha alegado ser responsable de tres brechas de datos separadas que afectan a Cisco Systems, Inc., afirmando que más de 3 millones de registros de Salesforce que contienen información personal identificable (PII), repositorios de GitHub, buckets de AWS S3 y otros datos corporativos internos sensibles han sido comprometidos.

El investigador de seguridad Dominic Alvieri detalló que en el sitio de filtración de datos de ShinyHunters, que marcó a Cisco con un aviso de “ADVERTENCIA FINAL”, exigiendo a la empresa contactar antes del 3 de abril de 2026 o enfrentar la exposición pública de los datos.

La lista, actualizada el 31 de marzo de 2026, indica un recuento de registros superior a 3 millones y hace referencia a tres vectores de brecha distintos: Salesforce CRM, Salesforce Aura (Experience Cloud) y entornos de cuentas de AWS.

ShinyHunters es un prolífico grupo de hackers de sombrero negro y extorsión que se cree se formó alrededor de 2019 y desde entonces se ha convertido en una de las operaciones de robo de datos y extorsión más activas en el ecosistema del cibercrimen.

El grupo opera bajo múltiples alias rastreados, incluyendo UNC6040 y UNC6395, y ha sido vinculado a campañas de vishing (phishing por voz) que engañan a empleados de empresas para que otorguen acceso a tokens OAuth a aplicaciones maliciosas de terceros en Salesforce.

En marzo de 2026, ShinyHunters afirmó haber vulnerado entre 300 y 400 organizaciones explotando configuraciones incorrectas en los controles de acceso de usuario invitado de Salesforce Experience Cloud (Aura), utilizando una herramienta de código abierto llamada AuraInspector para automatizar el escaneo de vulnerabilidades en entornos de Salesforce.

Reclamaciones de la supuesta brecha

Según inteligencia de amenazas publicada por Resecurity, los registros supuestamente robados de Cisco provienen claramente de su entorno de Salesforce y contienen referencias tanto a clientes como a empleados de Cisco.

De manera alarmante, el conjunto de datos supuestamente incluye registros vinculados a personal del FBI, DHS, DISA, IRS y NASA, así como del Ministerio de Defensa de Australia y múltiples agencias gubernamentales de la India —todos probablemente relacionados con la adquisición o configuración de productos de Cisco.

Este tipo de datos es altamente valioso para adversarios que planean ataques de phishing dirigido, ingeniería social o ataques a la cadena de suministro.

El clúster UNC6040 de ShinyHunters es conocido por engañar a empleados de soporte al cliente mediante vishing para autorizar aplicaciones maliciosas conectadas a Salesforce usando tokens OAuth. Una vez que se otorga acceso OAuth, este efectivamente elude la autenticación multifactor (MFA), los cambios de contraseña y el monitoreo de inicios de sesión, ya que los tokens son emitidos de forma nativa por Salesforce.

En una etapa posterior atribuida a UNC6395, los tokens robados se utilizan para exfiltrar secretos, incluyendo claves de AWS, contraseñas y tokens de Snowflake, lo que permite el movimiento lateral hacia entornos en la nube.

Historial previo de brechas de Cisco

En octubre de 2024, el actor de amenazas IntelBroker afirmó haber descargado 4.5 TB de datos del entorno público DevHub de Cisco, que incluía código fuente, credenciales hardcodeadas, tokens de API y buckets privados de AWS.

Cisco confirmó que, aunque sus sistemas principales no fueron vulnerados, ciertos archivos destinados a permanecer privados fueron expuestos inadvertidamente debido a un error de configuración. En agosto de 2025, Cisco también reveló una brecha de datos en su CRM separada, atribuida a un ataque de vishing vinculado a actores asociados con ShinyHunters.

El grupo ShinyHunters ha mostrado un patrón consistente de escalada en sus ataques temáticos de Salesforce, habiendo reclamado previamente brechas contra Snowflake, Okta, LastPass, Google, AMD, Sony y Crunchbase.

Los investigadores de seguridad recomiendan a las organizaciones auditar inmediatamente las aplicaciones conectadas a Salesforce mediante OAuth, aplicar controles de acceso a la API de Salesforce, revocar tokens no reconocidos y monitorear actividades no autorizadas del Salesforce Data Loader como medidas clave para mitigar intrusiones del estilo de UNC6040.

Cisco aún no ha emitido una declaración pública oficial abordando específicamente la reclamación de extorsión de ShinyHunters en marzo de 2026.