ShinyHunters: detenido en EE. UU. un negociador de rescates

La investigación del FBI sobre ShinyHunters, el grupo que en septiembre robó datos del personal del FBI a través de un sistema Oracle PeopleSoft sin actualizar, ha llevado a una tercera detención. Esta vez no se trata de un joven ciberdelincuente, sino de un profesional del sector: un directivo canadiense especializado precisamente en negociar rescates en nombre de las víctimas.

Qué ha pasado

El 8 de octubre de 2026 un ciudadano canadiense fue detenido en Filadelfia, Pensilvania, donde asistía a una conferencia sobre riesgo cibernético y seguros. El 9 de octubre el director del FBI, Kash Patel, anunció en X la detención de «otro presunto cómplice» de ShinyHunters, sin dar su nombre, y recordó que el incidente de FBIJobs.gov se produjo en una plataforma gestionada por un proveedor externo.

The New York Times fue el primero en informar de que el detenido es un canadiense arrestado en Pensilvania. Politico, KrebsOnSecurity y Reuters lo identifican como Edward Dubrovsky, de 54 años y con sede en Toronto. Los documentos judiciales escriben su apellido de formas distintas (Dobrovsky, Dobrosky) y, según KrebsOnSecurity, todavía no indican un abogado. Según SecurityWeek, la policía federal canadiense (RCMP) confirmó a CBS News que tiene conocimiento de la detención de un canadiense vinculada a ShinyHunters.

El perfil que describen los medios es el de un experto en respuesta a extorsiones:

• cofundador de CYPFER, empresa canadiense que asiste a las víctimas de ransomware; CyberScoop lo presenta como su antiguo director de operaciones, Infosecurity Magazine como antiguo managing director;
• vinculado a CyberSteward, empresa de Toronto especializada en negociar con extorsionadores; según Politico es una marca comercial de CYPFER;
• autor de un libro sobre la respuesta estratégica a la ciberextorsión, publicado el mes pasado.

El FBI no ha confirmado que Dubrovsky sea el cómplice al que se refería Patel. La denuncia principal está bajo secreto: no se sabe qué se le imputa en concreto ni si el caso tiene que ver con el ataque al FBI. Ni Dubrovsky ni CYPFER respondieron a las solicitudes de comentarios. Hasta que haya sentencia rige la presunción de inocencia.

Los cargos y el procedimiento

El registro del caso, citado por BleepingComputer, recoge dos cargos:

• 18 U.S.C. § 371 y § 1030(a)(7)(B): conspiración para amenazar con comprometer la confidencialidad de información con el fin de extorsionar dinero, la norma federal sobre fraude informático que castiga las amenazas sobre datos robados;
• 18 U.S.C. § 1951(a) y (b)(2): extorsión y conspiración para la extorsión que afecta al comercio (Hobbs Act).

Tras comparecer ante el tribunal del distrito este de Pensilvania, una orden del 9 de octubre trasladó el caso al distrito este de Texas, donde se presentaron los cargos y donde, según fuentes de KrebsOnSecurity, se concentra la investigación del FBI sobre ShinyHunters. Dubrovsky sigue bajo custodia a la espera de la audiencia sobre su detención.

El panorama de la investigación

Respecto a lo que ya se sabía, las fuentes aportan algunos elementos:

• Tercera detención: tras la del 15 de septiembre en los Países Bajos y la de finales de septiembre en Jordania (un menor que colabora con el FBI), es la primera en Estados Unidos.
• Otros negociadores: según fuentes de KrebsOnSecurity, recogidas por SecurityWeek y Security Affairs, también directivos de otras empresas de negociación de rescates podrían ser imputados.
• Dimensiones: según el FBI, citado por BleepingComputer, ShinyHunters y los actores vinculados han comprometido más de 140 organizaciones y cobrado más de 70 millones de dólares en un año.
• Movimiento lateral: solo Infosecurity Magazine informa de que, tras entrar por PeopleSoft, el grupo pasó a los servidores AWS GovCloud del FBI y extrajo entre 2 y 3 TB de datos. Ninguna otra fuente lo confirma.
• Infraestructura: según SecurityWeek, el sitio del grupo en la red Tor ya no es accesible; según The Register, también están caídos los canales de contacto, aunque el grupo anuncia que el sitio volverá. The Register recuerda además que ShinyHunters es ya más una marca que un grupo cerrado: las detenciones no frenan necesariamente su actividad.

Por qué afecta a las empresas europeas e italianas

Sin saber qué le imputa la acusación, el caso toca un punto delicado de la respuesta a incidentes: quien negocia con los extorsionadores en nombre de la víctima lo ve todo. Datos robados, comunicaciones internas, coberturas de seguro, capacidad de pago. Las empresas de respuesta a incidentes y de negociación son proveedores con accesos privilegiados, a los que se llama en el momento de máxima presión y que a menudo se eligen con prisas.

Para las entidades sujetas a NIS2 (en Italia, el Decreto Legislativo 138/2024), la seguridad de la cadena de suministro incluye también a estos proveedores. Si reciben datos personales, hacen falta un contrato conforme al artículo 28 del RGPD y controles adecuados, como con cualquier otro encargado del tratamiento. En el sector sanitario, donde los datos robados suelen ser categorías especiales, el riesgo es aún mayor.

Qué hacer ya

1. Elige antes a tus proveedores de respuesta: identifica de antemano las empresas de respuesta a incidentes y de negociación, comprobando propiedad, referencias y personal, aunque te las proponga la aseguradora.
2. Pon las reglas en el contrato: confidencialidad, contrato RGPD, ningún contacto con los atacantes sin tu aprobación y copia íntegra de cada mensaje intercambiado.
3. Limita los accesos externos: cuentas nominativas y temporales, autenticación multifactor, registro de la actividad y revocación al terminar la intervención.
4. Mantén tú el canal con el extorsionador: las comunicaciones deben pasar también por tu asesor legal y por el responsable de seguridad, nunca por un único actor externo. Implica a las fuerzas de seguridad y, si estás sujeto a NIS2, notifica al CSIRT nacional (en Italia, el CSIRT Italia de la ACN).
5. Comprueba las reivindicaciones con tus datos: compara lo que afirman los extorsionadores con los registros de acceso y los volúmenes de salida. Las reivindicaciones pueden exagerarse para subir la exigencia.
6. No bajes la guardia: el sitio del grupo está apagado, pero la marca sigue activa. Mantén las medidas indicadas en el artículo anterior, empezando por las actualizaciones de PeopleSoft y la autenticación multifactor en las plataformas SaaS.

Cómo ayuda ARXDOME

ARX Sentry recoge los registros de ordenadores, servidores y cortafuegos, útiles para saber quién accedió y cuándo, incluidas las cuentas de los proveedores externos. ARX Trace reconstruye los hechos con las pruebas recogidas por las sondas, para verificar las reivindicaciones de los extorsionadores en lugar de fiarte de su palabra. ARX Retain conserva los registros en almacenamiento europeo con bloqueo de objetos y legal hold, y te los devuelve cuando los necesitas para una investigación o una auditoría.

Última actualización: 12 de octubre de 2026