El grupo de amenazas ShadowByt3s ha reclamado la responsabilidad de un nuevo ciberataque contra Starbucks, supuestamente robando 10GB de código fuente propietario y firmware operativo. Según informes, los datos fueron extraídos de un depósito de Amazon S3 mal configurado llamado “sbux-assets” como parte de una campaña más amplia que apunta a vulnerabilidades en la nube.

El grupo de amenazas ShadowByt3s ha reclamado la responsabilidad de un nuevo ciberataque contra Starbucks, supuestamente robando 10GB de código fuente propietario y firmware operativo.

Los datos fueron presuntamente extraídos de un depósito Amazon S3 mal configurado llamado “sbux-assets” como parte de una campaña más amplia que apunta a vulnerabilidades en la nube.

Un actor de amenazas que opera bajo el seudónimo “BlackVortex1” publicó en un foro de la dark web afirmando haber exfiltrado propiedad intelectual que esencialmente “hace que Starbucks sea Starbucks”.

El grupo afirma que está escaneando y explotando activamente configuraciones incorrectas en la nube para recolectar datos corporativos sensibles. Plataformas de monitoreo de ciberseguridad, incluyendo VECERT, han marcado esta supuesta filtración circulando en canales de inteligencia de amenazas desde el 1 de abril de 2026.

Hardware operativo comprometido

Según la prueba de compromiso del actor de amenazas, los datos robados incluyen tecnología operativa altamente sensible que funciona como los controladores digitales de las máquinas físicas de Starbucks. Los archivos filtrados supuestamente contienen:

• Firmware de dispensadores de bebidas (.hex files) para controladores clave como componentes del Siren System y placas de motor Blue Sparq.
• Software de la máquina de espresso Mastrena II, que incluye código de interfaz de pantalla táctil y configuraciones de motores paso a paso.
• Activos de FreshBlends que contienen paquetes de interfaz de usuario propietarios, proporciones de ingredientes y lógica de precios para estaciones de batidos automatizadas.

Además del firmware de máquinas físicas, la brecha supuestamente compromete varias utilidades internas basadas en la web de Starbucks. Los hackers afirman poseer el código fuente de una “New Web UI” centralizada utilizada para gestionar máquinas y hardware en regiones internacionales. Otras herramientas comprometidas incluyen un portal dedicado de gestión de inventario (b4-inv) para rastrear la logística de la cadena de suministro global, y utilidades de monitoreo operativo usadas por técnicos para evaluar la salud y el rendimiento de las máquinas.

ShadowByt3s ha establecido un plazo de extorsión para el 5 de abril de 2026 a las 5:00 PM, amenazando con filtrar públicamente todo el conjunto de datos si Starbucks no paga el rescate.

Este supuesto robo de propiedad intelectual sigue de cerca a un incidente de seguridad separado revelado por Starbucks en marzo de 2026, donde una campaña de phishing para recolectar credenciales comprometió 889 cuentas de “Partner Central” de empleados.

Mientras que la brecha anterior expuso datos financieros del personal y números de seguridad social, este nuevo incidente se centra por completo en la infraestructura corporativa y los activos operativos.