Por Canuto  

Investigadores federales sospechan que ejecutivos vinculados a firmas de negociación de ransomware tuvieron relaciones inusualmente estrechas con ShinyHunters, y que uno habría ayudado a operar su extinto sitio de extorsión. El caso también plantea interrogantes sobre conflictos de interés en una industria que puede cobrar según el monto del rescate.
***

  • KrebsOnSecurity informó que el FBI investiga si un ejecutivo de una consultora estadounidense participó en la operación de Shinywire, un sitio que publicó demandas contra casi 100 organizaciones.
  • Los mensajes de Signal de Pepijn van der Stap habrían conectado a negociadores con ShinyHunters y mostrado que Edward Dubrovsky conocía el robo de información sensible del FBI.
  • El caso vuelve a poner bajo escrutinio los honorarios ligados al monto de los rescates y la imposibilidad de comprobar que los delincuentes borraron los datos robados.

La investigación federal sobre ShinyHunters ya no se limita a identificar a los hackers: también examina el papel de quienes debían ayudar a las víctimas a responder a sus extorsiones. Según fuentes citadas por KrebsOnSecurity, el FBI sospecha que ejecutivos de dos firmas de negociación de ransomware mantuvieron vínculos inusualmente cercanos con el grupo y que uno de ellos habría colaborado en la operación de un sitio web para presionar a las víctimas.

El portal, llamado Shinywire, estuvo activo entre el 3 de mayo y el 16 de octubre de 2026, y registró demandas contra casi 100 organizaciones. La investigación cobró impulso después de que ShinyHunters atacara el sitio de reclutamiento del FBI y amenazara con divulgar archivos que, según el grupo, incluían datos personales y laborales altamente sensibles de empleados de la agencia.

Un sitio para presionar a las víctimas

Las páginas de Shinywire instaban a las organizaciones afectadas a contactar al grupo y negociar las condiciones de pago, además de mostrar muestras de los archivos robados. También advertían que la información se publicaría si las víctimas ignoraban las exigencias, una táctica que convertía al portal en una herramienta de presión pública y no solo en un canal de comunicación clandestino.

Una página archivada del sitio estaba dedicada a Intuitive Surgical, empresa estadounidense de tecnología médica cuya red, según la información publicada, sufrió una intrusión en marzo de 2026 después de que un empleado cayera en un correo de phishing dirigido. ShinyHunters daba siete días a las organizaciones para responder; si no negociaban, sus datos podían aparecer en el blog de víctimas del grupo, accesible únicamente mediante la red Tor.

Dos fuentes cercanas a la investigación dijeron a KrebsOnSecurity que agentes federales creen que al menos un ejecutivo de una consultora estadounidense participó activamente en el funcionamiento de Shinywire. El medio no identificó a la compañía ni al ejecutivo porque, de acuerdo con su reporte, todavía no enfrentan cargos; describió a la firma como prestigiosa y con más de 1.000 asociados.

La sospecha de una colaboración desde el sector de respuesta a incidentes plantea una pregunta delicada: si quienes asesoran a empresas atacadas también pueden facilitar el contacto con los extorsionadores, ¿qué controles aseguran que actúen exclusivamente en interés de sus clientes? La investigación no ha establecido públicamente que la firma o el ejecutivo señalado hayan cometido un delito, por lo que esas afirmaciones deben entenderse como sospechas atribuidas a fuentes cercanas al caso.

El hackeo al FBI y las comunicaciones investigadas

A finales de septiembre de 2026, ShinyHunters comprometió fbijobs.gov, el sitio de reclutamiento del FBI, y amenazó con publicar archivos presuntamente sustraídos. La información descrita incluía historiales médicos y psicológicos, números de Seguro Social, domicilios y datos sobre la unidad y especialidad de cada empleado, una combinación que elevó la gravedad del incidente más allá de una filtración corporativa habitual.

El ataque llevó a la agencia a actuar con inusual rapidez para detener e interrogar a personas que hubieran tenido comunicación con Rey u otros sospechosos del grupo. Reuters informó el 3 de octubre que Rey, identificado como un hacker adolescente de Amán, Jordania, había sido detenido por las autoridades jordanas y cooperaba con el FBI.

El control de la marca ShinyHunters habría pasado a Rey luego de que integrantes originales fueran arrestados o encarcelados, y cuando uno de los presuntos miembros sénior acababa de caer en manos de las autoridades. El grupo, activo desde 2019 y inicialmente asociado sobre todo con delincuentes que vivían en Francia, habría extorsionado más de USD $70 millones hasta 2026, según cifras atribuidas al FBI.

Una pieza central de la investigación son los mensajes de Signal de Pepijn van der Stap, un hacker condenado y sospechoso de pertenecer a ShinyHunters, arrestado en Países Bajos la noche del 15 de septiembre de 2026. Una fuente citada por KrebsOnSecurity dijo que los agentes lo detuvieron mientras utilizaba la aplicación y pudieron revisar comunicaciones recientes con contactos frecuentes, entre ellos negociadores de ransomware de Canadá y Estados Unidos.

Esos mensajes también habrían ayudado a las autoridades a investigar un presunto complot de asesinato por encargo surgido después del arresto de Van der Stap. El medio neerlandés RTL informó que los ataques se habrían planeado en el extranjero y que existían indicios de que el hacker dio las órdenes, aunque no hay información que indique que se llevaran a cabo.

Dubrovsky y las acusaciones sobre datos del FBI

El 9 de octubre, el FBI arrestó a Edward Dubrovsky, ejecutivo canadiense de ciberseguridad de 54 años, en relación con la investigación de ShinyHunters. Los registros judiciales citados en el reporte indican que enfrenta acusaciones por amenazar con divulgar datos robados o hackeados e interferir con el comercio interestatal mediante extorsión; los fiscales solicitaron que permanezca detenido mientras espera el juicio.

Dubrovsky había publicado recientemente un libro sobre cómo gestionar extorsiones cibernéticas, en el que recomendaba interactuar con los hackers. Según una fuente cercana a la investigación, los mensajes de Van der Stap muestran conversaciones frecuentes entre ambos y con al menos un ejecutivo de una gran consultora estadounidense, y sugieren que esos ejecutivos conocían detalles de nuevas víctimas antes de que las propias organizaciones supieran que habían sido atacadas.

La misma fuente sostuvo que los chats mostraban que Dubrovsky sabía que ShinyHunters había robado información sensible de los servidores del FBI. Según esa versión, no informó a la agencia antes de que el grupo amenazara en redes sociales con publicar archivos personales de sus empleados; se trata de una afirmación atribuida a la investigación, no de una conclusión judicial establecida.

El caso se cruza con una disputa comercial entre Dubrovsky y Daniel Tobok, exdirector ejecutivo de Cypfer. The Globe and Mail informó que Dubrovsky presentó una demanda en Ontario este año y acusó a su antiguo socio de intentar perjudicarlo y excluirlo de los asuntos de la empresa; Tobok negó las acusaciones y presentó una contrademanda, en la que lo acusó de acceder a información confidencial y competir de forma injusta mediante CyberSteward Inc.

Ambos desarrollaron Cypfer después de asociarse en 2017, con Dubrovsky como socio gerente y director de operaciones, pero la relación se deterioró hacia 2024. Tobok también sostuvo que Dubrovsky se presentó falsamente como fundador de Cypfer y que no era accionista, mientras que Dubrovsky lo acusó de tomar decisiones empresariales cada vez más caprichosas.

Negociadores, honorarios y conflictos de interés

El reporte también recoge testimonios de antiguos colegas de Tobok que lo vinculan, desde hace unos ocho años, con el alias Ghostbyte en círculos relacionados con ransomware. En 2018, una víctima canadiense del programa Dharma recibió la recomendación de contactar la dirección ghostbyte@tutanota.com para obtener garantías sobre un posible pago, aunque no está claro si Tobok utilizó esa cuenta y él no respondió a las solicitudes de comentarios.

La firma de seguimiento de filtraciones Constella Intelligence vinculó una dirección de correo electrónico usada con frecuencia por Tobok, dtobok@me.com, con dos cuentas en línea cuyo nombre de usuario era ghostbyte, incluida una cuenta de Snapchat. Constella también relacionó el correo de un representante de Dharma con una dirección de criptomoneda que procesó 38 transacciones por un total de 43 BTC; la operación más reciente de esa billetera databa de febrero de 2019.

Cypfer declaró el 14 de octubre que su negocio no incluye realizar ni facilitar pagos de ransomware y que supo del arresto de Dubrovsky cuando la noticia apareció en medios. La compañía afirmó que CyberSteward y Cypfer son entidades separadas, sin directivos, administradores o empleados en común, y añadió que recientemente fue adquirida por Apros Group, dirigida por Jason Hogg, exagente especial del FBI y exdirector ejecutivo de Aon Cyber Solutions Group.

La historia empresarial también conecta a los protagonistas con Cytelligence, consultora de seguridad fundada por Tobok, donde Dubrovsky fue socio gerente; Aon la adquirió en 2020. En cuanto a Cypfer, la empresa señaló que no había recibido comunicación de las fuerzas del orden y que, según su conocimiento, no era objeto de una investigación policial.

Pagar rescates no es ilegal por sí mismo en Estados Unidos, aunque una víctima puede exponerse a problemas legales si entrega dinero a un grupo sancionado por el Departamento del Tesoro. ShinyHunters no figuraba entre los grupos sancionados por Estados Unidos ni por otros gobiernos, pero eso no elimina los riesgos operativos ni garantiza que los delincuentes borren los datos después de cobrar.

En general, las aseguradoras orientan a las víctimas hacia firmas de respuesta a incidentes, pero no todas aceptan facilitar pagos. Mark Camillo, director ejecutivo de CyberAcuView, dijo que algunos proveedores cobran una tarifa fija, mientras que otros reciben un porcentaje del rescate, una estructura que puede incentivar al negociador a facilitar el pago o a no presionar suficientemente para reducirlo.

Camillo sostuvo que la industria necesita más transparencia, pues el negociador puede tener un incentivo financiero ligado al tamaño de la transacción. Las firmas que cobran por facilitar pagos argumentan que las operaciones de mayor valor implican costos de custodia, adquisición de criptomonedas y comisiones más elevadas en los exchanges, pero Camillo pidió mayor visibilidad sobre esos cargos y sobre el porcentaje que reciben los intermediarios.

El historial de PowerSchool ilustra por qué un pago no garantiza el fin de una extorsión. En diciembre de 2024, ShinyHunters robó datos privados de 62 millones de estudiantes y 9,5 millones de docentes en Estados Unidos y Canadá; PowerSchool habría pagado USD $2,85 millones con asistencia de CyberSteward, pero en mayo de 2025 distritos escolares individuales supuestamente recibieron nuevas demandas basadas en muestras de los mismos archivos.

Matthew Lane, afiliado a ShinyHunters, fue sentenciado en noviembre de 2025 a cuatro años de prisión por su papel admitido en el ataque a PowerSchool. Aunque nadie ha atribuido al grupo la segunda ola de extorsiones contra los usuarios de la plataforma, el episodio muestra que no existe una manera técnica de comprobar que los atacantes eliminaron los archivos o impedir que otros los reutilicen.

Coveware y Unit 221B han advertido a las víctimas que no paguen a ShinyHunters, al señalar que los datos supuestamente destruidos pueden conservarse, revenderse o utilizarse para extorsionar después a clientes de la empresa afectada. El FBI expresó una recomendación similar en una alerta del 15 de mayo de 2026, mientras integrantes del grupo acosaban y amenazaban a empleados de ambas firmas por aconsejar a las víctimas que no pagaran.

En mensajes privados de Telegram, el operador de la cuenta principal de ShinyHunters se quejó de que Coveware estaba perjudicando las tasas de pago del grupo y afirmó que algunas empresas habrían pagado sin la intervención de la firma. En otra conversación, del 11 de abril de 2026, el operador dijo que intentaba eliminar el problema que atribuía a Coveware; la compañía declinó comentar sobre el caso.

Otros procesos federales muestran que las sospechas sobre negociadores no son exclusivas de esta investigación. El 7 de octubre, el Departamento de Justicia acusó a Zohar Pinhasi, director ejecutivo de MonsterCloud, de fraude electrónico y conspiración: los documentos sostienen que habría cobrado USD $19 millones a clientes mientras pagaba en secreto USD $8 millones a grupos de ransomware, pese a que supuestamente debía remediar los ataques sin pagarles.

En julio, Angelo Martino, negociador de ransomware de 41 años de Land O’Lakes, Florida, recibió una condena de 70 meses de prisión por conspirar con BlackCat/ALPHV para extorsionar a varias víctimas. El Departamento de Justicia dijo que Martino recibió pagos de los atacantes a cambio de revelar información confidencial sobre la posición y estrategia de negociación de los clientes de su empleador, lo que habría permitido maximizar los rescates.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados