ShinyHunters

Colectivo informal surgido alrededor de 2019-2020, con primera operación públicamente documentada en mayo de 2020: la venta de una base de datos de ~91 millones de cuentas de Tokopedia (Indonesia) en un foro de hacking, seguida casi de inmediato por otros 200+ millones de registros puestos a la venta. El nombre proviene de 'shiny hunting', la práctica dentro de los videojuegos Pokémon de buscar criaturas 'shiny' (variante de color rara); el grupo adoptó como logo/identidad visual un Pokémon shiny (Umbreon), confirmado en septiembre de 2026 cuando usó arte ASCII de un Umbreon shiny para defacear el sitio de filtraciones del grupo rival Cl0p. El grupo vendió datos en RaidForums y luego en BreachForums, foros con los que sus operadores están fuertemente entrelazados (varios administradores de BreachForums, incluido 'IntelBroker', fueron arrestados en 2025 junto a presuntos miembros de ShinyHunters). No existe una fecha de fundación única confirmada por fuente primaria/oficial; distintas fuentes secundarias dan 2019 o 2020.

Grupo de extorsión de datos puro (data-extortion), SIN desarrollo ni despliegue de ransomware/cifrado propio. El modus operandi documentado es: (1) robar datos mediante ingeniería social/vishing contra personal de soporte TI, abuso de tokens OAuth de integraciones de terceros (caso Salesloft Drift conectado a Salesforce), explotación de malas configuraciones en la nube, ataques a la cadena de suministro (clientes de Snowflake, integraciones Gainsight, zero-days en Oracle PeopleSoft), y (2) extorsionar directamente a las víctimas exigiendo pago (criptomoneda, frecuentemente vía canal Tox) bajo amenaza de publicar o vender los datos robados, ya sea en foros underground (RaidForums/BreachForums), en sitios de filtración propios, o mediante contacto directo con prensa. En 2025 confirmó operar como parte de una alianza más amplia autodenominada 'Scattered Lapsus$ Hunters' junto con Scattered Spider y Lapsus$, aunque mantiene cierta identidad/marca propia. La estructura es la de un colectivo informal y fluido de individuos (vinculado a la red más amplia conocida como 'The Com'), no una organización jerárquica fija; ha habido casos de impostores usando el nombre 'ShinyHunters' para extorsiones no autorizadas por el núcleo original (ej. caso PowerSchool 2025, reconocido por un presunto líder del grupo).

VÍNCULO SHINYHUNTERS <-> SCATTERED SPIDER / LAPSUS$: documentado y verificado por múltiples fuentes independientes (Google GTIG/Mandiant, Krebs on Security, prensa especializada). En 2025 estos tres colectivos anunciaron públicamente (vía Telegram, agosto de 2025) operar bajo el nombre conjunto 'Scattered Lapsus$ Hunters' (SLH), ejecutando la campaña Salesloft Drift/Salesforce. Google rastrea actividad relacionada bajo los identificadores UNC6040 y UNC6395. Krebs on Security identificó en noviembre de 2025 a un actor con el alias 'Rey' como administrador de SLH; en octubre de 2026 Reuters reportó su detención en Jordania. VÍNCULO SHINYHUNTERS <-> 'DARK SHINIGAMIS': NO SE ENCONTRÓ NINGUNA RELACIÓN REAL O DOCUMENTADA. Búsquedas específicas (incluyendo el tracker de ransomware de WatchGuard, que tiene una entrada para 'Dark Shinigamis' pero está marcada como 'under construction' sin datos de origen, víctimas ni afiliaciones) no arrojaron ninguna fuente que vincule a 'Dark Shinigamis' con ShinyHunters, ni como subgrupo, ni como rebrand, ni como alias. Son entidades léxicamente similares pero semánticamente distintas: 'ShinyHunters' remite a la mecánica Pokémon de cazar criaturas 'shiny'; 'Shinigami' es un término japonés que remite a 'dios de la muerte' (popularizado por anime/manga como Death Note y Bleach), un campo semántico completamente distinto (muerte/segador) sin relación histórica, lingüística ni operativa demostrada con la estética Pokémon/'shiny hunting' de ShinyHunters. No se encontró ninguna mención cruzada en fuentes de inteligencia de amenazas, trackers de ransomware, ni cobertura de prensa que las agrupe. CONCLUSIÓN: siguiendo el mismo patrón observado en investigaciones previas de este proyecto (storm/Stormous, n0n/DAN0N, clop/Knight-Cyclops), esta agrupación es, con alta probabilidad, un FALSO POSITIVO del algoritmo de consenso de fuentes por similitud léxica/fonética superficial ('Shiny' ~ 'Shini'), no una relación real entre actores. Se recomienda desagrupar 'Dark Shinigamis' de la ficha de ShinyHunters en el sistema de consenso.

Ingeniería social y vishing (llamadas fraudulentas a mesas de ayuda/soporte TI para obtener credenciales o acceso, campaña rastreada por Google como UNC6040 contra instancias de Salesforce); abuso de tokens OAuth de aplicaciones conectadas a Salesforce a través de terceros comprometidos (caso Salesloft Drift, chatbot de IA conectado a Salesforce, rastreado como UNC6395); explotación de credenciales/accesos de proveedores en cadena de suministro (clientes de Snowflake en 2024: Ticketmaster, AT&T, Santander, Twilio, Truist; integración Gainsight en 2025; Mixpanel en 2025 vía smishing); explotación de zero-days o vulnerabilidades no parcheadas (campaña 2026 contra decenas de instancias Oracle PeopleSoft; vulnerabilidad de carga de archivos no autenticada en Grav CMS usada para comprometer el sitio Tor de Cl0p en septiembre 2026); uso de herramientas modificadas tipo 'Data Loader' de Salesforce para exfiltración masiva; negociación de extorsión vía canal Tox con plazos (deadlines) públicos; publicación/filtración en sitios de leak propios y en foros underground (RaidForums, BreachForums).