El grupo cibercriminal notorio ShinyHunters ha reclamado la responsabilidad de un importante incidente de filtración de datos dirigido a Udemy, Inc. (udemy.com), una de las plataformas de aprendizaje en línea más grandes del mundo, y ha alegado el compromiso de más de 1.4 millones de registros que contienen información personal identificable (PII) y datos corporativos internos. La reclamación fue observada por primera vez el 24 de abril de 2026,

El grupo cibercriminal notorio ShinyHunters ha reclamado la responsabilidad de un importante incidente de filtración de datos dirigido a Udemy, Inc. (udemy.com), una de las plataformas de aprendizaje en línea más grandes del mundo, y ha alegado el compromiso de más de 1.4 millones de registros que contienen información personal identificable (PII) y datos corporativos internos.

La reclamación se observó por primera vez el 24 de abril de 2026, cuando ShinyHunters publicó una advertencia de “Paga o Filtramos” en su sitio de filtración de datos, estableciendo una fecha límite final para el 27 de abril de 2026 para que Udemy respondiera o enfrentara la exposición pública de los datos robados.

El mensaje de amenaza advierte: “Toma la decisión correcta, no seas el próximo titular”, una táctica de extorsión característica del modus operandi establecido del grupo.

Filtración de datos de Udemy

ShinyHunters es un grupo de extorsión de sombrero negro motivado financieramente, que se cree se formó en 2019. Ha construido una reputación bien documentada en torno al modelo “Paga o Filtramos”, exfiltrando datos sensibles, amenazando a las víctimas y vendiendo o publicando los datos si no se pagan los rescates.

El grupo ganó notoriedad por primera vez en 2020, cuando reclamó el robo de más de 200 millones de registros de más de 13 empresas.

Solo en 2026, ShinyHunters ha escalado significativamente su campaña dirigida a plataformas SaaS y al sector educativo. Entre sus víctimas este año se incluyen Vercel, McGraw-Hill y, a principios de febrero, la Universidad de Harvard, donde se expusieron aproximadamente 115,000 registros sensibles de exalumnos.

Google Threat Intelligence ha estado rastreando activamente las operaciones de robo de datos enfocadas en SaaS del grupo, atribuyendo la actividad de extorsión al clúster afiliado UNC6240.

ShinyHunters ha cambiado en los últimos años de la explotación tradicional de redes hacia la ingeniería social y los ataques a la capa de identidad, incluyendo vishing (phishing por voz), elusión de MFA y recolección de credenciales mediante infostealers.

Sus campañas frecuentemente aprovechan plataformas SaaS comprometidas, integraciones de terceros y credenciales robadas de contratistas para eludir las defensas perimetrales, como se demostró en la filtración de Vercel, donde un proveedor externo (Context.ai) fue utilizado como punto de entrada.

El sector educativo sigue siendo un objetivo de alto valor para ShinyHunters, que anteriormente vulneró la plataforma india Unacademy, robando más de 10 millones de cuentas de usuarios.

Hasta el momento de la publicación, Udemy no ha emitido un comunicado oficial confirmando o negando la filtración. El incidente sigue bajo verificación pendiente, y los investigadores en ciberseguridad continúan monitoreando el sitio de filtración del grupo para la publicación de datos tras la fecha límite del 27 de abril de 2026.

Se recomienda a las organizaciones que utilizan Udemy para la capacitación de empleados o que tienen cuentas activas que vigilen actividades sospechosas, restablezcan credenciales y activen la autenticación multifactor como medida de precaución.