ShinyHunters, FBI y PeopleSoft: detenciones y parche sin aplicar

📌 Novedades posteriores: ShinyHunters: detenido en EE. UU. un negociador de rescates (10 de octubre de 2026)

En la segunda mitad de septiembre, el grupo de robo de datos y extorsión ShinyHunters vulneró FBIJobs.gov, el portal de contratación del FBI, y reivindicó el robo de datos personales de empleados actuales, antiguos empleados y candidatos. Ahora el FBI confirma varias detenciones relacionadas con el ataque y señala la causa: un parche de seguridad que un proveedor externo no aplicó en una plataforma que gestionaba.

Para quien gestiona sistemas empresariales, la lección técnica es esta: un ataque de gran repercusión tuvo éxito gracias a una vulnerabilidad ya corregida, en un sistema gestionado por terceros.

Qué ha pasado

Según The Register, el grupo afirmó que el ataque al FBI no tenía fines económicos: quería responder a la nota con la que, el 15 de mayo de 2026, el FBI desaconsejó a las víctimas pagar. Un portavoz lo calificó como «una iniciativa de relaciones públicas y de marketing» para su actividad.

Según Reuters, citada por KrebsOnSecurity, los datos expuestos afectan a más de 5.000 personas del FBI e incluyen unidad, especialización e incluso historiales médicos y psiquiátricos.

Brett Leatherman, subdirector de la Cyber Division del FBI, declaró a Reuters que el incidente se debe a un fallo de seguridad de una plataforma gestionada por una organización externa, después de que un proveedor no instalara un parche publicado precisamente para protegerla. El FBI ha apartado al proveedor. El FBI no dio nombres; según dos fuentes de Reuters, citadas por CSO Online y KrebsOnSecurity, la organización externa es Accenture y la plataforma es Oracle PeopleSoft, el sistema de contratación, recursos humanos y nóminas que ShinyHunters ya había señalado como vía de entrada.

En cuanto a la investigación:

• el 15 de septiembre la policía neerlandesa detuvo a un hombre de 24 años, condenado en el pasado por robo de datos y extorsión, al que el FBI describe como «uno de los presuntos líderes» de ShinyHunters;
• a finales de septiembre las autoridades jordanas detuvieron en Amán a un joven conocido con el alias Rey, que según Reuters colabora con el FBI para identificar a otros miembros;
• el 5 de octubre el FBI confirmó a The Register que, junto con sus socios, había detenido a «varios sujetos», sin dar detalles.

Según KrebsOnSecurity, cuando Rey fue detenido el grupo intentaba extorsionar a Jeppesen ForeFlight, la unidad de navegación aérea que Boeing vendió en 2025. Boeing declaró que conoce las reivindicaciones y que las está revisando; Jeppesen ForeFlight afirma no haber detectado impacto en sus operaciones ni en sus productos.

Detalles técnicos

• Vulnerabilidad: según KrebsOnSecurity, el grupo entró en el sistema del FBI y en los de otras víctimas aprovechando CVE-2026-35273 en Oracle PeopleSoft. Se explota como zero-day desde junio; Oracle publicó la corrección poco después.
• Mitigación eludida: para quien no podía actualizar enseguida, Mandiant había publicado reglas para web application firewall (WAF). En las últimas semanas ShinyHunters las ha eludido con un conocido truco de codificación de URL (URL encoding).
• Explotación masiva: en un informe del 25 de septiembre, Mandiant y el Google Threat Intelligence Group confirman que el grupo explotó la vulnerabilidad a gran escala y robó datos de decenas de sistemas en educación superior, tecnología, sanidad, agricultura, transporte y administraciones públicas.
• Modelo operativo: según fuentes cercanas a la investigación citadas por KrebsOnSecurity, ShinyHunters funciona ya como una marca en franquicia. Los afiliados aportan credenciales robadas de plataformas SaaS de grandes empresas y reciben una parte de los rescates.
• Presión sobre las víctimas: la nota del FBI del 15 de mayo describe mensajes y llamadas amenazantes a víctimas y familiares, casos de swatting y falsas afirmaciones sobre la posesión de material comprometedor.
• MITRE ATT&CK (correspondencia a partir de los hechos publicados): T1190 (Exploit Public-Facing Application), T1078 (Valid Accounts) para los accesos con credenciales robadas, T1657 (Financial Theft) para la extorsión.

Impacto para las empresas europeas e italianas

PeopleSoft también está muy extendido en Europa para la gestión de personal. Los datos que contiene (datos personales, salarios, datos de salud) suelen ser categorías especiales según el RGPD: una brecha obliga a valorar la notificación a la autoridad de control en un plazo de 72 horas y, en los casos más graves, la comunicación a los afectados.

Sobre todo, el caso del FBI trata de la cadena de suministro. La NIS2 exige a las entidades esenciales e importantes gestionar la seguridad de los proveedores y la gestión de vulnerabilidades; un sistema que confías a un proveedor sigue siendo tu riesgo. Entre los sectores afectados está la sanidad, donde los sistemas de personal están ligados a turnos y accesos clínicos.

Qué hacer ya

1. Haz inventario: enumera todas las instancias de PeopleSoft, incluidas las alojadas o gestionadas por proveedores y empresas de outsourcing.
2. Verifica el parche, con pruebas: pide al proveedor el nivel de actualización real frente a la corrección de Oracle para CVE-2026-35273. Una declaración genérica no basta.
3. No confíes solo en el WAF: las reglas temporales han sido eludidas. Comprueba que el WAF decodifica y normaliza las URL antes de aplicar las reglas, y considéralo una medida provisional, no una solución.
4. Busca indicios de explotación: analiza los registros del servidor web y del WAF de las instancias de PeopleSoft desde junio, con atención a las peticiones con rutas codificadas y a las exportaciones de datos anómalas. Usa los indicadores del informe de Mandiant y GTIG.
5. Protege los accesos SaaS: autenticación multifactor en todas las plataformas SaaS, revisión de las sesiones activas y rotación de las credenciales expuestas.
6. Prepara la respuesta a la extorsión: incluye en el plan de respuesta el contacto directo con empleados y familiares, la denuncia a las fuerzas de seguridad y, para las entidades NIS2, la notificación al CSIRT nacional.
7. Revisa los contratos: fija plazos máximos para aplicar los parches críticos y la obligación de comunicar su estado.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas, y señala las cuentas de la empresa implicadas en brechas. ARX Shield enumera las vulnerabilidades abiertas por máquina y por paquete, con las ya explotadas destacadas. ARX Sentry recoge los registros de servidores y firewalls y agrupa los accesos fallidos y las ráfagas de intentos, útiles para detectar a tiempo credenciales robadas.

Última actualización: 7 de octubre de 2026