-
La policía holandesa arrestó en Ámsterdam a un "offensive security lead" de 24 años por la investigación de ShinyHunters, con granadas de aturdimiento en la oficina (28-29/09)
El arresto fue el 15 de septiembre y se anunció el lunes a la noche; el detenido comparece ante el tribunal de Rotterdam. Trabajaba como líder de seguridad ofensiva en una empresa que lo reconoció como empleado, y ya tenía una condena previa por hackeo, robo de datos y extorsión, con cuatro años de los cuales uno en suspenso. ShinyHunters se había atribuido la brecha de febrero de 2026 a la telco holandesa Odido, con 6,2 millones de clientes afectados, y hace poco dijo haber comprometido un sistema de reclutamiento del FBI "para proteger nuestro negocio". El grupo niega cualquier vínculo con el detenido. La parte que le toca a cualquier organización: el insider con permiso de romper cosas es el más difícil de detectar. The Register · BleepingComputer
-
Oracle PeopleSoft: ShinyHunters volvió a la carga sobre CVE-2026-35273 codificando el URL para pasar por arriba de los WAF (26/09)
Google avisó de una nueva ola de explotación masiva: el exploit es el mismo pero reescrito con URL-encoding, lo que alcanza para que la regla del firewall de aplicación no lo reconozca y la ejecución remota siga funcionando. Los atacantes dejan web shells, y la campaña pega en varios sectores a la vez. La lección práctica es la de siempre y duele igual: el WAF compró tiempo, no reemplazó el parche. The Hacker News · BleepingComputer
-
ShinyHunters defaceó el sitio de filtraciones de Clop aprovechando un path traversal sin parchear de Grav CMS (25/09)
La banda de ransomware tuvo que mudar el sitio a otro servidor después de que le comprometieran el anterior. Más allá del morbo, el dato técnico es el de siempre y vale para cualquiera: el CMS desactualizado del sitio institucional es la puerta, la sofisticación del resto de la operación no lo compensa. BleepingComputer
-
ShinyHunters hackeó el sitio de filtraciones de Clop y amenaza con extorsionar a la banda de ransomware (19/09)
El grupo extorsivo entró al sitio Tor donde Clop publica los datos de sus víctimas, lo defaceó y dice haberse llevado datos del servidor y las claves privadas del servicio onion. Si las claves son reales, ShinyHunters puede suplantar el sitio de Clop, que es la pieza de infraestructura de la que depende toda su presión extorsiva. La ironía se cuenta sola, pero el efecto práctico importa: las víctimas de Clop ahora tienen sus datos en manos de dos grupos en vez de uno. BleepingComputer
-
Microsoft detalló dos campañas: phishing con temática de passkeys para entrar a Microsoft 365, y un millón de mails de fraude financiero haciéndose pasar por CEOs (13/09)
La primera usa ingeniería social alrededor de passkeys y single sign-on —es decir, se apoya justo en el mecanismo que la industria viene promocionando como el reemplazo seguro de la contraseña— para comprometer cuentas corporativas y robar datos de los servicios de Microsoft 365; Microsoft la atribuye a actores ligados a ShinyHunters, Helix y otras bandas de extorsión. La segunda mandó más de un millón de correos entre el 3 y el 5 de agosto suplantando a los CEO de las empresas objetivo, para convencer a las áreas de cuentas por pagar de iniciar transferencias ACH por una supuesta suscripción anual de ServiceNow, apoyándose en infraestructura de envío de terceros. La evidencia indica que los operadores usaron IA generativa para armar las plantillas y redactar cada mail según el destinatario. El foco fueron usuarios corporativos en Estados Unidos, en servicios de IT, bienes de consumo, inmobiliario y manufactura discreta. The Hacker News · BleepingComputer
-
Investigadores militares chinos usaron Claude para armar 16 módulos de guerra electrónica cuyo escenario por defecto tenía 12 blancos en Taiwán (13/09)
Sigue de lo de ayer, cuando el reporte de Anthropic aportó los números de velocidad de ShinyHunters: ahora se conoce el capítulo chino, con cinco programas distintos, dos de ellos militares. Un actor pidió ayuda para redactar la especificación de control de fuego de un sistema anti-torpedo —la lógica que decide cuándo y dónde engancha el arma—, probarlo contra sistemas conocidos de la Armada estadounidense y preparar una propuesta técnica de más de 200 páginas, disfrazándose de OEM del sector de defensa de Estados Unidos. Otro, un investigador del complejo militar-industrial, desarrolló los 16 módulos de software para guerra electrónica y supresión de defensas aéreas: analizan radares, baterías de misiles, puestos de comando y nodos de comunicaciones, y priorizan blancos. El escenario por defecto contenía doce objetivos en Taiwán, incluidas baterías Patriot y Tien Kung, bases aéreas, un radar de alerta temprana y un búnker de comando; los metadatos de cuenta apuntan a instituciones de investigación de la República Popular, entre ellas la Academia de Ciencias Militares del EPL. Aparte, Anthropic acusa a varios laboratorios chinos de destilación a escala industrial: Alibaba habría generado más de 151 millones de intercambios entre mayo y julio, llegando a casi 3 millones de pedidos por día a través de miles de cuentas fraudulentas, con los datos de cadena de razonamiento usados para entrenar Qwen 3.x; DeepSeek, más de 12,1 millones en 14 días; Xiaomi, más de 400.000. Tom's Hardware · Anthropic
Tom's Hardware Anthropic Anthropic DeepSeek Alibaba Claude Qwen
-
Anthropic publicó ocho meses de abuso de Claude: ShinyHunters escaneó 1,8 millones de APKs de Android buscando secretos hardcodeados (11/09)
El pipeline corría en diez workers EC2 de AWS, bajaba los APKs de varias tiendas, los descompilaba y los pasaba por TruffleHog, con los hallazgos verificados ruteándose en tiempo real a un grupo de Telegram organizado en más de cien tipos de fuente. De ahí salieron las credenciales de acceso inicial que el actor usó para "la mayor parte de las brechas confirmadas". Los números de velocidad son el dato nuevo: 34 horas para extraer más de 2.100 juegos de tokens de Azure AD de más de 40 tenants corporativos, con los agentes haciendo "casi todo el trabajo", y en otro caso menos de tres horas desde un token de desarrollador robado hasta control administrativo total. El grupo ruso Midnight Blizzard automatizó su operación con skills de Claude Code y montó un lazo de realimentación que reconstruía el malware cada vez que un producto de seguridad lo detectaba; el grupo chino GTG-10007 corría flujos autónomos de búsqueda de vulnerabilidades mientras los operadores humanos estaban ausentes, y encontró varias fallas desconocidas en un producto de seguridad importante. BleepingComputer · Anthropic
BleepingComputer Anthropic Anthropic Amazon Claude Claude Code
-
Campañas de phishing con temática de passkeys están robando datos de Microsoft 365 (11/09)
Microsoft dice que actores ligados a ShinyHunters, Helix y otras bandas de extorsión están usando ingeniería social alrededor de passkeys y single sign-on para comprometer cuentas corporativas y sacar datos de los servicios de Microsoft 365. El giro es incómodo: la passkey es justamente la defensa que se recomienda contra el phishing clásico, y acá se usa el proceso de enrolarla como el señuelo. Cualquier flujo que le pida al usuario "configurar" o "re-verificar" una passkey por mail merece hoy una mirada extra. BleepingComputer
-
AdaptHealth confirmó 4,1 millones de personas expuestas, y Veradigm reconoció otra filtración de datos de pacientes (09/09)
El ataque a AdaptHealth se descubrió en julio y se atribuye a ShinyHunters. El de Veradigm entró por un proveedor externo y expuso datos personales de pacientes; la banda Gentlemen se adjudicó el ataque. Los dos casos son de salud y los dos siguen el mismo patrón del año: el dato no sale de la empresa que lo custodia sino de alguien en su cadena. BleepingComputer · BleepingComputer
-
McKesson reconoció una brecha y ShinyHunters dice haberle sacado 1 TB y 284 millones de registros de pacientes (28/08)
La distribuidora farmacéutica y de salud descubrió el incidente el 25 de agosto y lo informó en un Form 8-K ante la SEC, donde aclara que todavía no determinó que sea material. Según el grupo, la entrada fue por vishing contra varios empleados: comprometieron sus cuentas de single sign-on de Okta y desde ahí los entornos de Salesforce y Snowflake, usando el dominio mckesson[.]claims, que encaja con una campaña de dominios empresa[.]claims documentada por ReliaQuest para hacerse pasar por mesas de ayuda internas. Dicen haber sacado alrededor de 1 TB entre el 21 y el 25 de agosto —y aclaran que los 284 millones son líneas o registros crudos, no personas únicas—, con nombres, direcciones, fechas de nacimiento, números de seguridad social, IDs de paciente, números de Medicaid, historias clínicas, medicación, alergias y hasta datos de pacientes fallecidos y terminales. El pedido de rescate fue de USD 55.236.150 con 72 horas de plazo, y afirman que McKesson nunca respondió. Todo lo atribuido al grupo son afirmaciones sin verificación independiente; lo que sí está confirmado por la empresa es el acceso no autorizado y la posible degradación intermitente del servicio. Se suma a la ola de ShinyHunters contra salud que ya alcanzó a Medtronic, DentaQuest, iRhythm, OneMedical y AdaptHealth. BleepingComputer
-
Tres brechas en dos días y dos detenidos en Australia por los ataques a la cadena de suministro de desarrolladores (27-28/08)
Van juntas porque muestran los dos lados del mismo mes. Del lado de las víctimas: Hasbro reconoció que le accedieron información personal y financiera de un número no revelado de empleados; el Manchester Airports Group informó que le robaron datos de clientes, incluidos los registros de Wi-Fi de los aeropuertos de Manchester, Stansted y East Midlands; y ShinyHunters publicó datos sensibles de casi 13 millones de cuentas robadas a Carhartt a principios de mes, según Have I Been Pwned. Del lado de la respuesta: las autoridades australianas detuvieron y acusaron a dos jóvenes señalados como parte de TeamPCP, el grupo vinculado a una serie de ataques de amplio alcance contra la cadena de suministro de desarrolladores. Hasbro · Manchester Airports · Carhartt · TeamPCP
-
ShinyHunters roba datos de la NAIC vía 0-day en Oracle PeopleSoft
El grupo de extorsión ShinyHunters comprometió a la National Association of Insurance Commissioners (NAIC) explotando una vulnerabilidad zero-day en un servidor Oracle PeopleSoft, sustrayendo datos públicos, logs antiguos y archivos de configuración. Parte de la ola de brechas de comienzos de julio junto a actores como INC_RANSOM y ANUBIS. SecurityOnline · Breachsense
-
Oleada de brechas y ransomware del 26 de junio
El 26 de junio se conocieron múltiples brechas que afectaron a organizaciones como 911 Driving School (PrinzEugen), Atlas Elektronik (TheGentlemen), Clearview Eye Centre (Interlock) y MagMutual Insurance (LeakNet), entre otras. En incidentes mayores recientes, Madison Square Garden Sports fue víctima de ShinyHunters, que afirma haber robado más de 26 millones de registros, y Bajaj Auto detectó actividad no autorizada el 23 de junio. Importa por la persistencia de grupos de ransomware/extorsión apuntando a sectores diversos. Breachsense · SharkStriker
-
Zero-day en Oracle PeopleSoft (CVE-2026-35273) usado por ShinyHunters golpea universidades
El grupo de extorsión ShinyHunters (rastreado por Mandiant como UNC6240) explotó una falla de ejecución remota de código sin autenticación (CVSS 9.8) entre el 27 de mayo y el 9 de junio, antes de que Oracle publicara su aviso el 10 de junio. Mandiant notificó a más de 100 organizaciones; el 68% eran de educación superior, mayormente en EE.UU. Have I Been Pwned contabilizó ~455.000 emails filtrados con nombres, direcciones, teléfonos y hasta números de pasaporte. The Hacker News · BleepingComputer · SecurityWeek
-
FortiBleed y otras brechas activas
CISA alertó sobre una campaña ("FortiBleed") que comprometió ~86.644 appliances FortiGate al 19/06. Salesforce desactivó la integración de la app "Klue Battlecards" el 11/06 tras detectar actividad anómala con posible acceso no autorizado a datos de clientes. Sigue el coletazo del robo por ShinyHunters de ~275M de registros de estudiantes y personal educativo (8.809 distritos/universidades). TechCrunch · Breachsense