ShinyHunters
ShinyHunters es un conocido grupo centrado en el robo de datos y las brechas que saltó a la fama en 2020 por filtrar y vender millones de registros de usuarios de empresas de todo el mundo.
El origen de ShinyHunters
A diferencia de los grupos de ransomware, ShinyHunters no cifra los sistemas. En su lugar, sus operaciones se centran en violar redes, robar datos y monetizarlos a través de foros clandestinos o canales de Telegram. Se les ha relacionado con filtraciones de alto nivel de los repositorios GitHub de Microsoft, Tokopedia, Bonobos y docenas de organizaciones más pequeñas.
El grupo es conocido por su gran volumen de filtraciones, con bases de datos que contienen decenas de millones de registros que aparecen regularmente en mercados clandestinos. El estilo operativo de ShinyHunters combina la extorsión financiera, el daño a la marca y la creación de reputación, lo queles convierte en una amenaza persistente para empresas de múltiples sectores.
En agosto de 2025, ShinyHunters estableció una asociación operativa con LAPSUS$ y Scattered Spiderformando el colectivo extorsionista Scattered LAPSUS$ Hunters. En esta alianza, ShinyHunters proporciona una canalización de bases de datos robadas masivas e infraestructura de brechas, complementando el modelo de extorsión basado en el espectáculo público de LAPSUS$ y las sofisticadas habilidades de ingeniería social e intrusión en SaaS de Scattered SpiderSpider. Esta colaboración amplía la influencia de ShinyHunters más allá de los mercados clandestinos y la sitúa en el centro de atención de los medios de comunicación, lo que les permite amplificar la presión de los rescates y el daño a la reputación, al tiempo que aceleran la monetización.
Países objetivo de ShinyHunters
Global, con víctimas en todo el mundo:
- Estados Unidos
- India y Sudeste Asiático
- Europa (Francia, Alemania, Reino Unido)
- América Latina
Industrias objetivo de ShinyHunters
Las infracciones de ShinyHunters abarcan un amplio espectro, normalmente centrado en industrias ricas en datos:
- Venta al por menor y comercio electrónico (Tokopedia, Wattpad, Bonobos)
- Tecnología y SaaS (repositorios GitHub de Microsoft)
- Servicios financieros (varias bases de datos sobre tecnología financiera y banca)
- Alimentación y bebidas (plataformas de entrega a domicilio, aplicaciones para restaurantes)
- Plataformas sanitarias y de consumidores con conjuntos de datos ricos en IPI
Víctimas conocidas
- GitHub: Repositorios de código fuente robados
- Tokopedia: Se filtran 91 millones de registros de usuarios
- Wattpad: 270 millones de registros robados y filtrados
- Bonobos: 7 millones de registros de clientes vendidos en línea
- Numerosas plataformas de entrega de alimentos y comercio electrónico en todo el mundo
Método de ataque de ShinyHunters
Explota aplicaciones mal configuradas, credenciales débiles o adquiere acceso a través de intermediarios de la Web oscura.
Utiliza exploits o errores de configuración disponibles públicamente en aplicaciones web y bases de datos.
Se basa en la ocultación, a menudo mezclándose con el tráfico legítimo o explotando la débil seguridad cloud .
Ataca GitHub, el almacenamiento cloud y las bases de datos internas; recoge las credenciales de los usuarios.
Mapas de bases de datos accesibles y repositorios internos.
Amplía el acceso desde aplicaciones web a bases de datos backend y repositorios de código.
Exfiltra conjuntos de datos a gran escala que contienen PII, información financiera y código fuente.
Ejecuta scripts sencillos de extracción de datos y rastreadores automatizados para maximizar el robo de datos.
Transfiere conjuntos de datos robados a foros clandestinos y canales de Telegram.
Causa daños a la reputación a través de filtraciones masivas, intentos de extorsión y venta de volcados de datos.
Explota aplicaciones mal configuradas, credenciales débiles o adquiere acceso a través de intermediarios de la Web oscura.
Utiliza exploits o errores de configuración disponibles públicamente en aplicaciones web y bases de datos.
Se basa en la ocultación, a menudo mezclándose con el tráfico legítimo o explotando la débil seguridad cloud .
Ataca GitHub, el almacenamiento cloud y las bases de datos internas; recoge las credenciales de los usuarios.
Mapas de bases de datos accesibles y repositorios internos.
Amplía el acceso desde aplicaciones web a bases de datos backend y repositorios de código.
Exfiltra conjuntos de datos a gran escala que contienen PII, información financiera y código fuente.
Ejecuta scripts sencillos de extracción de datos y rastreadores automatizados para maximizar el robo de datos.
Transfiere conjuntos de datos robados a foros clandestinos y canales de Telegram.
Causa daños a la reputación a través de filtraciones masivas, intentos de extorsión y venta de volcados de datos.
TTPs utilizados por ShinyHunters
Cómo detectar ShinyHunters con Vectra AI
Preguntas frecuentes
¿ShinyHunters despliega ransomware?
No. A diferencia de muchos grupos de delincuencia electrónica, se centran únicamente en el robo y la filtración de datos, no en el cifrado de archivos.
¿Cómo gana dinero ShinyHunters?
Vendiendo bases de datos robadas en foros clandestinos y canales de Telegram, o extorsionando a empresas.
¿Qué tipo de datos roban?
Principalmente PII, credenciales de acceso, datos financieros y repositorios de código fuente.
¿Sus infracciones son selectivas u oportunistas?
En su mayoría oportunistas, explotan sistemas vulnerables o mal protegidos para obtener el máximo volumen de datos.
¿Trabajan con información privilegiada?
A diferencia de LAPSUS$, hay menos pruebas de reclutamiento interno; se basan más en infracciones técnicas.
¿Cuál es su relación con otros grupos?
Ahora se han asociado con LAPSUS$ y Scattered Spider bajo la marca "Scattered LAPSUS$ Hunters". También están dando información sobre Qilin y DragonForce, lo que demuestra que probablemente ya no están en buenos términos con estos grupos.
¿Cómo pueden las organizaciones detectar su presencia?
Supervisando las consultas anómalas a bases de datos, los accesos a GitHub y los casos de filtración de datos a gran escala. Herramientas como Vectra AI pueden identificar estos comportamientos en una fase temprana.
¿Qué industrias corren más riesgo?
Cualquier organización que posea grandes conjuntos de datos de consumidores, especialmente minoristas, SaaS y servicios financieros.
¿Hasta qué punto son perjudiciales sus fugas?
Extremadamente numerosas, implican decenas o cientos de millones de registros, lo que conduce al robo de identidad, la suplantación de credenciales y la pérdida de reputación.
¿Cuál es la mejor estrategia de defensa?
Adopte prácticas sólidas de seguridad de identidades, supervise los repositorios en busca de credenciales expuestas e implante Vectra AI para detectar filtraciones anómalas y abusos de credenciales en entornos híbridos y cloud .