Un presunto miembro de ShinyHunters ha sido detenido en Jordania y, según se informa, está ayudando al FBI a identificar a otros hackers vinculados al grupo. Reuters informó el 3 de octubre que tres personas familiarizadas con el asunto confirmaron la detención de Saif al-Din Khader, cuyo presunto apodo en línea es Rey.

Dos fuentes afirmaron que las autoridades jordanas detuvieron a Khader el martes 29 de septiembre. También señalaron que estaba ayudando al FBI y a agencias policiales de todo el mundo a localizar a otros miembros del grupo. Reuters no pudo establecer por qué fue detenido ni dónde se encuentra recluido, y los intentos de contactar con él y su familia no tuvieron éxito.

El FBI se negó a confirmar cualquier arresto específico u operación en el extranjero. Sin embargo, afirmó que "continúa investigando agresivamente el reciente incidente cibernético que presuntamente involucra a ShinyHunters", añadiendo que ya ha trabajado con socios para arrestar a múltiples sujetos. La oficina se comprometió a perseguir a todos los responsables.

Afirmaciones del FBI sobre el robo de datos

La detención se produce tras la afirmación de ShinyHunters de que robó información de todos los empleados del FBI. Dicha afirmación sigue sin ser verificada, y la cooperación reportada no establece el papel de Khader en el incidente ni prueba el relato del grupo sobre su acceso.

Informes anteriores sobre la presunta brecha en el portal de empleo del FBI describieron una alteración de apply.fbijobs.gov, donde los atacantes mostraron un aviso de incautación falso. Posteriormente, el FBI retiró su servicio de solicitudes y el Portal de Candidatos a Agente Especial mientras investigaba la actividad no autorizada que afectaba a sus sistemas de reclutamiento.

ShinyHunters afirmó que explotó un fallo no revelado de Oracle PeopleSoft que permitía ejecutar código sin iniciar sesión. El grupo dijo que luego se trasladó a los sistemas AWS GovCloud gestionados por el FBI y descargó entre dos y tres terabytes de datos. Oracle, AWS y el FBI no han confirmado esa ruta de ataque.

Los atacantes proporcionaron a los periodistas una muestra de 5.000 presuntos registros de empleados que contenían nombres, direcciones particulares, números de teléfono, números de Seguridad Social, fechas de nacimiento, asignaciones y detalles familiares. Reuters coincidió parcialmente con la información en al menos 10 casos, pero esa comprobación no estableció que los registros provinieran de sistemas comprometidos del FBI.

Estas distinciones son importantes porque tomar el control de un sitio web público no prueba automáticamente el acceso a la red más amplia de una agencia. Los investigadores deben comparar los registros del servidor, la actividad de las cuentas, los registros de acceso a la nube y las transferencias de datos salientes para establecer cómo entraron los atacantes y qué eliminaron realmente.

Si fueran genuinos, los registros de personal reportados podrían facilitar el phishing dirigido, el fraude de identidad, el acoso o las amenazas contra empleados y familiares. Los detalles sobre las asignaciones y los contactos familiares podrían hacer que los mensajes fraudulentos sean más convincentes, incluso sin que los atacantes conserven el acceso a los sistemas gubernamentales.

La detención en Jordania también sigue al arresto de un presunto líder de ShinyHunters en los Países Bajos. La policía holandesa detuvo a un sospechoso de 24 años en Ámsterdam el 15 de septiembre, con el apoyo del FBI. ShinyHunters negó la asociación de ese sospechoso con el grupo, y las acusaciones siguen sin ser probadas.

Reuters describió a ShinyHunters como un grupo que, según los expertos, consiste principalmente en hackers jóvenes de habla inglesa centrados en el robo de datos y la extorsión. La reportada cooperación de Khader podría ayudar a los investigadores a conectar identidades en línea con personas reales, pero Reuters no reveló qué información había proporcionado.

Por ahora, las preguntas clave sin respuesta conciernen al estatus legal de Khader, el alcance de su cooperación y la verdadera magnitud del presunto robo de datos del FBI. Ni el informe de la detención ni las afirmaciones públicas del grupo resuelven esas cuestiones. La investigación del FBI permanece activa, y se necesitan más hallazgos para separar la evidencia confirmada de las declaraciones de los atacantes y otras alegaciones no verificadas.