Fiscales sospechan que un negociador de ransomware operó el sitio de extorsión de ShinyHunters

19 de octubre de 2026. Investigadores federales estadounidenses que siguen la pista de ShinyHunters han identificado a ejecutivos de dos empresas de negociación de rescates con relaciones inusualmente estrechas con el grupo. Según fuentes próximas al caso, uno de ellos habría ayudado a operar un sitio web utilizado para presionar a las víctimas y exigirles el pago de un rescate.

La investigación se aceleró después del ataque contra el sitio de reclutamiento del FBI, fbijobs.gov, perpetrado a finales de septiembre. Los archivos sustraídos supuestamente incluían historiales médicos y psicológicos, números de la Seguridad Social, domicilios e información sobre las unidades y especialidades de empleados. Reuters informó el 3 de octubre de que Rey, identificado como el líder de ShinyHunters, había sido detenido por las autoridades jordanas y colaboraba con el FBI.

El 15 de septiembre, las autoridades neerlandesas arrestaron a Pepijn van der Stap, un hacker condenado y sospechoso de pertenecer a ShinyHunters. Una fuente cercana a la investigación afirmó que los agentes pudieron acceder a comunicaciones recientes de su cuenta de Signal, incluidas conversaciones con negociadores de ransomware de Canadá y Estados Unidos. Esos mensajes también estarían relacionados con una investigación sobre un supuesto complot para cometer dos asesinatos, aunque no hay indicios de que las órdenes llegaran a ejecutarse.

El FBI arrestó el 9 de octubre al ejecutivo canadiense de ciberseguridad Edward Dubrovsky, de 54 años. Los registros judiciales le atribuyen cargos por amenazar con divulgar datos robados o pirateados e interferir mediante extorsión en el comercio interestatal. Según una fuente citada por KrebsOnSecurity, sus conversaciones con Van der Stap mostraban que conocía el robo de datos de servidores del FBI y que no informó de la intrusión a la agencia antes de que ShinyHunters amenazara con publicar los archivos.

Dos fuentes próximas a la investigación indicaron que los investigadores creen que al menos un ejecutivo de una consultora estadounidense participó activamente en la gestión de shinywire[.]com, un sitio ya desaparecido que estuvo operativo aproximadamente entre el 3 de mayo y el 16 de octubre de 2026. La web incluía registros de casi un centenar de organizaciones atacadas, muestras de archivos robados y mensajes que instaban a las víctimas a negociar. Si no respondían en siete días, ShinyHunters amenazaba con publicar los datos en su blog accesible mediante Tor.

KrebsOnSecurity señala que no identifica por ahora a la consultora ni a los ejecutivos sospechosos porque no han sido acusados formalmente.

Fuente: KrebsOnSecurity.