Investigadores federales sospechan que un ejecutivo de una firma de consultoría de Estados Unidos ayudó al grupo ShinyHunters a operar un sitio web utilizado para presionar a empresas hackeadas a pagar rescates. Este caso plantea dudas sobre si algunos asesores de ciberseguridad, en quienes se confía para ayudar a las víctimas, habrían pasado a apoyar a los criminales que exigen pagos por datos robados.

Investigadores federales sospechan que un ejecutivo de una empresa de consultoría de Estados Unidos ayudó a ShinyHunters a operar un sitio web utilizado para presionar a las empresas hackeadas para que pagaran demandas de rescate.

La alegación plantea interrogantes sobre si asesores de ransomware de confianza pasaron de ayudar a las víctimas a apoyar a los criminales que exigen pagos por datos robados.

El presunto operador del sitio web no ha sido nombrado públicamente ni acusado. Por separado, el FBI arrestó a Edward Dubrovsky, un ejecutivo de ciberseguridad canadiense de 54 años, el 8 de octubre en Pensilvania. Los informes no establecen que Dubrovsky operara el sitio web, y las acusaciones contra él siguen sin probarse mientras continúa la investigación federal sobre su conducta.

El sitio web, shinywire[.]com, operó según los informes aproximadamente desde el 3 de mayo hasta el 16 de octubre de 2026. En él aparecían casi 100 organizaciones objetivo de ShinyHunters. Cada entrada animaba a la víctima a contactar al grupo, discutir los términos del pago y evitar la publicación de la información robada, según fuentes familiarizadas con la investigación federal en curso.

Shinywire convirtió los archivos robados en presión para el pago

Las páginas de las víctimas mostraban muestras de archivos robados para respaldar las demandas. Según se informa, las organizaciones que no interactuaron en un plazo de siete días se enfrentaron a la publicación de sus datos en un sitio de filtraciones de ShinyHunters independiente accesible a través de Tor. Esta configuración utilizaba la exposición pública y los plazos para empujar a las empresas hacia negociaciones con el grupo de hackers.

KrebsOnSecurity citó a dos fuentes que afirmaron que los investigadores creen que un ejecutivo de una gran empresa de consultoría estadounidense ayudó activamente a gestionar Shinywire. La publicación mantuvo en secreto la identidad del ejecutivo y el nombre de la empresa porque no se habían presentado cargos. Describió a la firma como una empresa con más de 1.000 asociados en todo su negocio de consultoría.

El arresto de Dubrovsky forma otra parte de la investigación. Tal como se cubrió en informes anteriores, enfrenta acusaciones relacionadas con una conspiración para amenazar con la publicación de información confidencial a cambio de dinero e interferencia con el comercio mediante amenazas. La denuncia sellada limita el escrutinio público de la conducta que los fiscales atribuyen al ejecutivo canadiense.

El expediente judicial público registra su arresto y su posterior traslado al Distrito Este de Texas. También muestra que se nombraron defensores federales y se ordenó la detención a la espera de una audiencia en el distrito de imputación. Esos registros procesales no establecen culpabilidad ni revelan la totalidad de las pruebas detrás de las acusaciones contra él.

Según los informes, los investigadores obtuvieron pistas después de que la policía holandesa arrestara al sospechoso de ShinyHunters, Pepijn van der Stap, en septiembre. Fuentes dijeron a KrebsOnSecurity que los agentes accedieron a conversaciones recientes de Signal mientras él tenía la sesión iniciada. Esos mensajes supuestamente revelaron un contacto frecuente con Dubrovsky y con un ejecutivo de la empresa estadounidense anónima que ahora está bajo escrutinio.

Según la información, algunos intercambios sugirieron que los ejecutivos conocían detalles sobre nuevas víctimas de ShinyHunters antes de que esas organizaciones descubrieran sus brechas de seguridad. Otra alegación es que Dubrovsky sabía que se había robado información sensible del FBI antes de que el grupo amenazara públicamente con su publicación. Estas afirmaciones provienen de fuentes, no de pruebas judiciales probadas públicamente.

La investigación ganó urgencia después de que ShinyHunters atacara el sitio web de reclutamiento del FBI en septiembre. Según se informa, los registros robados incluyeron números de Seguro Social, direcciones particulares, información médica y detalles sobre asignaciones de empleados. La sensibilidad de esos archivos aumentó los riesgos más allá de una brecha corporativa estándar y ejerció una presión adicional sobre los investigadores que persiguen a los sospechosos.

ShinyHunters suele robar credenciales a través de phishing y utiliza cuentas comprometidas para extraer datos de servicios en la nube. Luego amenaza con publicarlos a menos que las víctimas paguen. Se trata de una extorsión basada en información robada, que no requiere cifrar los ordenadores de la víctima. Según KrebsOnSecurity, el FBI atribuye al grupo más de 70 millones de dólares en pagos realizados en 2026.

El caso también resalta los riesgos de confiar en las promesas de eliminar los registros robados. En el caso de brecha y extorsión de PowerSchool, un pago de aproximadamente 2,85 millones de dólares no evitó demandas posteriores dirigidas a los distritos escolares afectados. Los intentos posteriores utilizaron información de la misma brecha, demostrando cómo los registros robados pueden seguir siendo una fuente continua de presión.

KrebsOnSecurity también informó sobre preocupaciones respecto a los negociadores cuyas tarifas aumentan con el pago final del rescate. El director ejecutivo de CyberAcuView, Mark Camillo, afirmó que ese acuerdo crea intereses conflictivos porque el asesor se beneficia de un pago mayor. Pidió una mayor transparencia en torno a las tarifas, los costes de las criptomonedas y los intereses financieros implicados en la resolución de las demandas.

La advertencia del FBI del 15 de mayo sobre ShinyHunters advirtió que los atacantes pueden combinar la información robada con mensajes amenazantes, llamadas y acoso. Aconsejó a las personas contactadas directamente que no paguen ni respondan a las demandas. La oficina también instó a las víctimas a conservar las comunicaciones y denunciar la actividad sospechosa a través del IC3 o de una oficina local del FBI.

Por ahora, la alegación sobre el sitio web sigue siendo un hallazgo investigativo reportado que involucra a un ejecutivo anónimo, mientras que Dubrovsky enfrenta procesos penales independientes. Ninguno de los dos debe presentarse como una condena. Se necesitarán expedientes públicos y más pruebas para establecer quién apoyó a ShinyHunters, qué hicieron y si sus acciones infringieron la ley.

Fuentes:
https://cybersecuritynews.com/fbi-suspects-cybersecurity-executive-shinyhunters/