Por Canuto  

ShinyHunters afirma que explotó una vulnerabilidad de Oracle PeopleSoft para entrar en la página de empleos del FBI y desplazarse hacia sistemas en AWS GovCloud. El grupo asegura haber descargado entre 2 TB y 3 TB de información, pero dice que no busca dinero: exige que la agencia retire acusaciones formuladas contra sus métodos de extorsión. El FBI investiga la denuncia, que no ha sido confirmada públicamente.
***

  • ShinyHunters atribuye el presunto acceso inicial a un zero-day de Oracle PeopleSoft con ejecución remota de código.
  • El grupo afirma haber alcanzado sistemas de recursos humanos, MedLink y Criminal Justice Information Services del FBI.
  • La banda niega buscar un rescate y exige que el FBI retracte declaraciones sobre acoso, amenazas y swatting.

ShinyHunters afirma haber comprometido al FBI y haber extraído entre 2 TB y 3 TB de información relacionada con empleados actuales, antiguos trabajadores y aspirantes a ingresar a la agencia. El grupo de extorsión sostiene que el incidente no persigue una ganancia económica, sino que busca obligar a los federales a corregir o retirar declaraciones que considera falsas sobre sus operaciones. La acusación no ha sido confirmada públicamente por el FBI, Oracle ni AWS; el FBI investiga las afirmaciones.

De acuerdo con la información publicada por The Register, un portavoz de ShinyHunters atribuyó el acceso inicial a una vulnerabilidad de día cero en Oracle PeopleSoft, plataforma que, según el grupo, estaba integrada en la página de empleos del FBI. La banda asegura que esa falla permitió ejecutar código de forma remota en los servidores y abrir el camino hacia otros recursos. La afirmación describe una intrusión presunta, no un hecho verificado independientemente.

La ruta que describe ShinyHunters

Según el relato del grupo, los atacantes comenzaron en el portal de empleos del FBI y después avanzaron lateralmente hacia servidores administrados en AWS GovCloud. En seguridad informática, el movimiento lateral consiste en utilizar un punto de acceso inicial para intentar alcanzar otros sistemas dentro de una infraestructura conectada, aunque la existencia de esa ruta concreta aún no ha sido confirmada por las empresas involucradas.

ShinyHunters también sostiene que logró descargar información perteneciente a empleados actuales, ex empleados y personas que solicitaron trabajar para el FBI. El portavoz afirmó que el grupo tiene datos de todos los empleados y aspirantes de la agencia, una declaración amplia cuya extensión y autenticidad no han sido demostradas públicamente. La cifra comunicada por la banda se ubica entre 2 TB y 3 TB, sin un desglose del tipo de archivos supuestamente obtenidos.

La lista de sistemas presuntamente afectados incluye recursos humanos, MedLink y Criminal Justice Information Services, conocido por sus siglas en inglés como CJIS. Esos nombres apuntan a áreas sensibles de administración de personal, servicios vinculados con empleados y operaciones de información de justicia criminal, pero la fuente no especifica qué bases de datos habría consultado el grupo ni qué documentos fueron extraídos.

Como parte de la supuesta intrusión, ShinyHunters afirma que desfiguró el sitio web de empleos y lo reemplazó con un banner que anunciaba que la página había sido incautada por el grupo. El portal fue reportado como temporalmente desfigurado y posteriormente permaneció no disponible. La alteración visible del sitio y el supuesto robo de información son elementos distintos, por lo que la presencia de un mensaje de desfiguración no prueba por sí sola el acceso a los sistemas internos.

Una disputa que, según el grupo, no busca dinero

Las operaciones asociadas con ShinyHunters suelen presentarse como campañas de extorsión en las que los atacantes amenazan con publicar archivos robados si la víctima no paga un rescate. En este caso, sin embargo, el portavoz aseguró que la banda no está solicitando dinero al FBI y que su objetivo es conseguir una retractación de la agencia. El grupo describió el ataque como una respuesta personal a acusaciones que considera injustas.

La exigencia se relaciona con un boletín del FBI fechado el 15 de mayo, difundido poco después de que ShinyHunters irrumpiera, según sus propias afirmaciones, en la plataforma Canvas de Instructure. En aquella ocasión, el grupo dijo haber robado datos vinculados con cientos de millones de estudiantes, docentes y miembros del personal educativo. La disputa actual retoma ese episodio y convierte las declaraciones de la agencia en el centro de la presión ejercida por los atacantes.

El FBI describió a ShinyHunters como una organización que emplea tácticas de acoso contra sus víctimas y sus familiares, incluidos mensajes de texto y llamadas telefónicas amenazantes. La alerta también mencionó casos de swatting, una práctica que provoca una respuesta policial de alto riesgo en la dirección de una persona mediante un reporte falso, y advirtió que los extorsionistas podrían afirmar que poseen fotografías o videos comprometedores que en realidad no existen.

ShinyHunters rechazó cada una de esas caracterizaciones y afirmó que ha intentado combatirlas sin éxito. Su portavoz sostuvo que el presunto acceso a los sistemas del FBI representa la mejor forma de responder a esas acusaciones, aunque no explicó qué evidencia pretende publicar ni qué mecanismo considera suficiente para demostrar que las declaraciones de la agencia son incorrectas.

Fallas por confirmar y respuestas pendientes

La supuesta vulnerabilidad ocupa un lugar central en el relato porque una falla de ejecución remota de código podría permitir operar un sistema desde una ubicación externa, dependiendo de las condiciones de exposición y de las medidas de protección instaladas. ShinyHunters la describió como un zero-day de Oracle PeopleSoft y afirmó que no requería autenticación previa, pero no había confirmación pública de Oracle de que el producto hubiera sido comprometido mediante una vulnerabilidad con esas características.

La falta de una confirmación pública de Oracle impide establecer si el producto mencionado fue realmente el punto de entrada o si la banda utilizó otra debilidad para comprometer el portal. Tampoco está claro qué versión de PeopleSoft habría estado involucrada, cuándo ocurrió el acceso ni si la empresa recibió muestras técnicas que permitieran investigar la denuncia. Esos detalles suelen resultar decisivos para distinguir una intrusión real de una afirmación sin respaldo.

AWS tampoco había confirmado públicamente las consultas sobre el supuesto robo en GovCloud. La ausencia de comentarios no confirma ni descarta el incidente, pero deja sin resolver si la infraestructura alojada en esa nube fue alcanzada, qué controles habrían detectado la actividad y si los datos mencionados por ShinyHunters pertenecían efectivamente al FBI.

El FBI investiga las afirmaciones del grupo, pero no había confirmado públicamente el presunto acceso al portal, la extracción de información ni la cifra reclamada. La agencia podría necesitar revisar registros, aislar sistemas y determinar el alcance de cualquier exposición antes de divulgar conclusiones. Por ahora, no hay una admisión oficial de que el ataque haya ocurrido ni de que se hayan sustraído entre 2 TB y 3 TB.

Qué se sabe y qué permanece como alegato

El caso combina varios elementos que requieren verificación independiente: la explotación de un supuesto zero-day, la ejecución remota de código, el desplazamiento desde un portal público hacia recursos en AWS GovCloud y la descarga masiva de archivos. Por ahora, esos puntos provienen de declaraciones de ShinyHunters, mientras que el estado de disponibilidad del sitio y la imagen del banner constituyen señales visibles de una alteración, no una prueba completa de compromiso interno.

También permanece sin confirmar el contenido de los datos que la banda dice poseer. Afirmar que se cuenta con información de empleados, ex empleados y aspirantes no permite conocer si los archivos contienen datos personales, expedientes laborales, solicitudes de empleo u otra clase de registros, y la noticia no aporta muestras que permitan evaluar la sensibilidad o la autenticidad del material.

La dimensión del supuesto robo, situada entre 2 TB y 3 TB, tampoco equivale automáticamente al número de personas afectadas ni al volumen de información útil para un atacante. El tamaño puede incluir copias, archivos técnicos o datos repetidos, aunque no existen elementos suficientes para determinar la composición del material reclamado. Por esa razón, cualquier evaluación sobre el impacto deberá esperar una confirmación del FBI o evidencia verificable.

El episodio muestra cómo una disputa pública puede mezclarse con una intrusión alegada y con una estrategia de presión reputacional. ShinyHunters niega buscar un rescate y exige una retractación, mientras el FBI investiga sin haber confirmado públicamente las acusaciones; Oracle y AWS tampoco han confirmado los aspectos técnicos y de infraestructura del caso.

La información será actualizada si alguna de las organizaciones consultadas ofrece una respuesta. Hasta entonces, el presunto hackeo debe describirse como una afirmación de ShinyHunters, no como una intrusión confirmada, y la cifra de hasta 3 TB debe mantenerse vinculada a la versión entregada por el grupo.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados