Las autoridades federales de EE. UU. que persiguen al grupo de hackers ShinyHunters han identificado a ejecutivos de dos firmas separadas de negociación de ransomware que mantenían relaciones inusualmente estrechas con los extorsionadores. Según fuentes cercanas a la investigación, un ejecutivo con base en Estados Unidos supuestamente ayudó a ShinyHunters a operar un sitio web diseñado para presionar a las víctimas para que pagaran rescates. La investigación se intensificó después de que ShinyHunters robara recientemente datos altamente sensibles del FBI, lo que provocó una acción rápida para arrestar e interrogar a individuos con vínculos de comunicación con el grupo.
ShinyHunters ha asumido la responsabilidad de docenas de importantes violaciones de datos desde 2019. Originalmente operado por ciberdelincuentes en Francia, el control de la marca finalmente pasó a un hacker adolescente de Amán, Jordania, conocido como "Rey". El FBI informa que ShinyHunters ha extorsionado más de 70 millones de dólares a las víctimas solo este año. A finales de septiembre, el grupo hackeó el sitio web de reclutamiento del FBI, fbijobs.gov, amenazando con publicar archivos robados que contenían registros médicos, números de Seguro Social y direcciones domiciliarias de los empleados. Tras la violación, Reuters informó el 3 de octubre que Rey había sido detenido por las autoridades jordanas y estaba cooperando con el FBI.
La investigación ganó un impulso significativo después de que las autoridades holandesas arrestaran al hacker convicto Pepijn van der Stap el 15 de septiembre de 2026. La policía utilizó granadas de flash-bang para aprehender a Van der Stap mientras estaba conectado a varias cuentas en línea. Las autoridades incautaron su cuenta de mensajería instantánea Signal, revelando comunicaciones con contactos frecuentes, incluidos negociadores de ransomware en Canadá y Estados Unidos. Estos mensajes proporcionaron pruebas clave que vinculaban a ejecutivos con un complot de asesinato por encargo que supuestamente surgió inmediatamente después del arresto de Van der Stap, aunque no hay indicios de que las órdenes se hayan llevado a cabo.
El 9 de octubre, el FBI arrestó a Edward Dubrovsky, un ejecutivo canadiense de ciberseguridad de 54 años y autor de un libro sobre cómo manejar la extorsión cibernética. Los registros judiciales acusan a Dubrovsky de amenazar con divulgar datos robados e interferir con el comercio interestatal mediante extorsión. Las fuentes indican que los mensajes de Van der Stap mostraban que Dubrovsky conversaba frecuentemente con él y al menos con un ejecutivo de una gran firma de consultoría con sede en EE. UU. Se informa que estos ejecutivos conocían detalles sobre nuevas víctimas de ShinyHunters antes de que las propias víctimas fueran conscientes de las violaciones. Además, los investigadores descubrieron que Dubrovsky sabía que ShinyHunters había robado datos sensibles de los servidores del FBI pero no informó a la oficina antes de que el grupo amenazara con publicar los archivos en redes sociales.
Los investigadores federales creen que un ejecutivo de una prestigiosa firma de consultoría de EE. UU. con más de 1.000 asociados jugó un papel activo en la operación de "shinywire[.]com", un sitio web de extorsión ahora inactivo utilizado por ShinyHunters. El sitio estuvo activo desde el 3 de mayo de 2026 hasta el 16 de octubre y presentaba entradas para casi 100 organizaciones hackeadas. Cada entrada instaba a las víctimas a negociar los términos de pago e incluía muestras de archivos robados, prometiendo su publicación si se ignoraban las demandas. Las organizaciones que se negaron a participar en un plazo de siete días tuvieron sus datos publicados en un blog de vergüenza de ShinyHunters accesible solo a través de la red Tor.
La investigación también reveló una historia compleja que involucra a Daniel Tobok, exdirector ejecutivo de Cypfer, conocido en los círculos de ransomware por el apodo "Ghostbyte". En 2018, un representante del ransomware Dharma dirigió a una víctima para que contactara a una firma de TI en ghostbyte@tutanota.com para obtener garantías sobre el pago. Si bien no está claro si Tobok utilizó esa dirección específica, el servicio de seguimiento de violaciones Constella Intelligence encontró su correo electrónico asociado con cuentas en línea que utilizaban el nombre de usuario "ghostbyte". Cypfer declaró en un comunicado que su negocio no incluye facilitar pagos de ransomware y afirmó no tener conocimiento previo del arresto de Dubrovsky.
El caso destaca los intereses conflictivos dentro de la industria de respuesta a incidentes cibernéticos. Si bien pagar a los hackers no es ilegal en EE. UU., los expertos advierten que ShinyHunters a menudo retiene los datos robados a pesar de prometer eliminarlos. El FBI emitió una alerta el 15 de mayo de 2026, aconsejando a las víctimas que no pagaran al grupo. Se informa que los miembros de ShinyHunters han acosado a empleados de firmas como Coveware y Unit 221B por asesorar a sus clientes para que no paguen, con chats internos que revelan la frustración de que estas firmas estuvieran reduciendo sus tasas de pago.
Los líderes de la industria señalan que algunos negociadores cobran un porcentaje del rescate total, creando un incentivo para maximizar los pagos en lugar de negociar a la baja. El Departamento de Justicia de EE. UU. ha procesado recientemente a varios negociadores por conspirar con ciberdelincuentes. En octubre, el director ejecutivo de MonsterCloud, Zohar Pinhasi, fue acusado de fraude telefónico por supuestamente cobrar a los clientes 19 millones de dólares mientras pagaba secretamente 8 millones de dólares a los hackers. Además, Angelo Martino fue condenado a 70 meses de prisión en julio por conspirar con el grupo Blackcat/ALPHV para extorsionar a las víctimas.
Fuentes: Krebs on Security.