ShinyHunters

El grupo ShinyHunters surgió en 2019 tras una serie de campañas en las que afirmó haber comprometido datos de múltiples empresas, entre ellas Tokopedia (más de 90 millones de cuentas) y repositorios de código de Microsoft. Desde entonces, se ha consolidado como un actor especializado en la exfiltración de grandes volúmenes de información.

El papel de ShinyHunters dentro del ecosistema de los foros criminales es clave: tras la caída de RaidForums, BreachForums pasó a estar en varias de sus iteraciones bajo el control directo de ShinyHunters y Baphomet, utilizándose como plataforma principal para publicar y comercializar sus filtraciones de datos. Durante los años 2024 y 2025, distintas operaciones coordinadas por las fuerzas de seguridad de diversos países derivaron en la detención de distintos administradores vinculados al grupo (como el famoso IntelBroker). Esto supuso también la confiscación de dominios del foro, los propios dueños de estos foros han advertido posteriormente que algunos clones y relanzamientos pueden funcionar como honeypots operados por autoridades.

Uno de los casos más relevantes es el ataque a Ticketmaster en 2024, donde ShinyHunters aseguró haber robado hasta 1,3 TB de información y datos de hasta 560 millones de usuarios, incluyendo detalles de contacto y fragmentos de información de pago, que fueron ofertados por unos 500.000 dólares en BreachForums, el principal foro underground angloparlante de bases de datos robadas. El grupo también se atribuyó la filtración de datos del Banco Santander, con decenas de millones de registros de clientes expuestos y también anunciados y comercializados en ese mismo foro. Estos incidentes ilustran bien su modelo operativo: comprometer entornos cloud/SaaS (por ejemplo integraciones con Snowflake y terceros), extraer información a gran escala y usar estos foros criminales como escaparate y canal de comercialización.

En los años siguientes, el grupo amplió su actividad hacia el sector educativo y las plataformas de gestión de aprendizaje, generalmente peor securizadas. En 2026 se le atribuyeron ataques contra el LMS Canvas (Instructure) y otras instituciones, con robo de datos de estudiantes, profesores y personal administrativo. A raíz de estos sucesos el FBI emitió un aviso específico alertando de una campaña de ShinyHunters contra organizaciones educativas y proveedores de tecnología que utilizan estos servicios. Investigaciones de Mandiant señalan además diversas intrusiones contra clientes de Oracle PeopleSoft, explotando aplicaciones expuestas y credenciales previamente comprometidas para acceder a información académica y de recursos humanos.

En paralelo, se ha observado un giro táctico, inclinándose a realizar campañas dirigidas contra clientes de Salesforce, donde estos actores han combinado vishing y aplicaciones que se hacen pasar por herramientas legítimas (como Data Loader) mediante páginas de phishing que se hacían pasar por un inicio de sesión tipo Okta, estando muy alineados con los patrones de intrusión típicos de Scattered Spider.

Actualmente, en 2026, ShinyHunters mantiene una actividad sostenida y ha pasado de ser un actor centrado casi exclusivamente en el robo de bases de datos a formar parte de una alianza más amplia con LAPSUS$ y Scattered Spider, conocida como Scattered LAPSUS$ Shiny Hunters (SLSH). Esta alianza presenta una operación donde cada cluster aporta su especialidad: Scattered Spider aporta la parte de ingeniería social avanzada y bypass de MFA, LAPSUS$ la dimensión de filtración y ataques de alto impacto mediático, y ShinyHunters la capacidad de robo y exfiltración a gran escala. El colectivo utiliza Telegram como "centro de mando" y de branding, con canales efímeros que se vuelven a crear tras cada takedown.

ShinyHunters es un grupo diferenciado dentro del panorama de amenazas porque combina factores que no suelen verse juntos en un mismo actor. Su papel en el mantenimiento y evolución de BreachForums lo distingue de actores que solo se dedican a filtrar datos sin participar en la infraestructura de los foros. A esto añade una línea de ataques de alto impacto mediático, con incidentes como Ticketmaster y Santander. Por último, sus alianzas con grupos ya consolidados como LAPSUS$ (no necesariamente los OG) y Scattered Spider le permite escalar capacidades operativas y mantener una actividad sostenida en un entorno de amenazas altamente dinámico.

Algo más tarde, durante la segunda mitad de septiembre, ShinyHunters comprometió el sitio de Cl0p y llevó a cabo un defacement. ShinyHunters indicó que esto había ocurrido debido a que Cl0p había amenazado con divulgar información privada de sus miembros. Esta tensión venía dándose desde hace tiempo, debido a una prolongada disputa relacionada con el presunto robo por parte de Cl0p de una vulnerabilidad de software de Oracle. Curiosamente, y relacionado con Oracle, una semana después de este incidente con Cl0p, ShinyHunters causó una brecha de datos en la web de empleo del FBI mediante una vulnerabilidad de día cero en Oracle PeopleSoft. El grupo consiguió robar entre 2 y 3 TB de datos de empleados actuales, exempleados y candidatos a puestos de trabajo.