FBI sospecha de negociadores de rescates en ShinyHunters

El FBI sospecha que los negociadores trabajaban para el otro lado

ShinyHunters extorsionó a sus víctimas más de US$70 millones en lo que va de 2026, según el FBI. Ahora los investigadores federales que persiguen al grupo sospechan que parte de esa maquinaria tuvo cómplices dentro del propio sector que las empresas contratan para defenderse: las firmas de negociación de rescates.

KrebsOnSecurity informó que los investigadores identificaron a ejecutivos de dos firmas distintas de negociación con relaciones inusualmente cercanas al grupo. Uno de ellos, con base en Estados Unidos, habría ayudado a ShinyHunters a operar shinywire[.]com, el sitio con el que el grupo presionaba a las víctimas para que pagaran.

El medio no publicó el nombre de la empresa ni del ejecutivo porque aún no han sido imputados. Solo precisó que se trata de una firma descrita como prestigiosa, con más de 1.000 asociados.

Para un founder, la noticia no es el morbo: es que el proveedor al que llamarías en tu peor día puede tener incentivos alineados con quien te ataca.

Qué era Shinywire y por qué importa

El sitio estuvo activo aproximadamente entre el 3 de mayo y el 16 de octubre de 2026 y acumuló entradas de casi 100 organizaciones hackeadas por ShinyHunters. Cada ficha presionaba a la víctima a negociar términos de pago y publicaba muestras de los archivos robados como prueba.

Quien no respondía en siete días veía todo su material publicado en el blog de escarnio del grupo, accesible únicamente a través de la red de anonimato Tor. Entre las víctimas listadas aparecía Intuitive Surgical, una compañía estadounidense de tecnología médica brechada en marzo de 2026 después de que un empleado cayera en un correo de phishing dirigido.

La cadena de arrestos que destapó todo

El caso se aceleró tras el hackeo al portal de reclutamiento del FBI, fbijobs.gov, a fines de septiembre. El grupo amenazó con publicar archivos que incluían historiales médicos y psicológicos, números de Seguro Social, direcciones particulares y datos sobre la unidad y especialización de cada empleado.

La secuencia, según las fuentes del caso:

• El 15 de septiembre de 2026, la policía de Países Bajos detuvo al hacker convicto Pepijn van der Stap, sospechoso de pertenecer a ShinyHunters. Lo arrestaron mientras usaba su cuenta de Signal, lo que permitió a las autoridades leer sus conversaciones recientes.
• Entre esos contactos había negociadores de rescates con base en Canadá y Estados Unidos. Según las fuentes, esos ejecutivos solían conocer los detalles de nuevas víctimas antes de que las propias víctimas supieran del ataque.
• El 29 de septiembre, las autoridades jordanas detuvieron a Saif al-Din Khader, conocido como Rey, el adolescente que había tomado el control de la marca ShinyHunters. Reuters reportó que comenzó a cooperar con el FBI.
• El 9 de octubre, el FBI arrestó a Edward Dubrovsky, ejecutivo canadiense de ciberseguridad de 54 años, acusado de amenazar con divulgar datos robados e interferir en el comercio interestatal mediante extorsión. El caso se trasladó al Distrito Este de Texas, donde el FBI centralizó la investigación.

Dubrovsky había publicado recientemente un libro sobre cómo manejar la extorsión cibernética, Cyber Extortion Strategic Response, de 252 páginas, que recomendaba siempre dialogar con los atacantes. Según una fuente cercana al caso, sus conversaciones con Van der Stap mostrarían que sabía que ShinyHunters había robado datos sensibles de servidores del FBI y que nunca lo informó a la agencia antes de que el grupo lo hiciera público.

Cypfer, la firma canadiense con la que Dubrovsky estuvo vinculado, declaró el 14 de octubre que su negocio no incluye realizar ni facilitar pagos de rescate y que se enteró del arresto por la prensa.

El conflicto de interés que el sector no audita

Aquí está el problema de fondo, y no es un caso aislado. Mark Camillo, CEO de CyberAcuView, un grupo industrial fundado en 2021 por un consorcio de grandes aseguradoras cibernéticas, explicó que algunas firmas cobran un retainer fijo, pero las que se especializan en negociar el pago suelen cobrar un porcentaje del monto total del rescate.

Ese esquema, dijo, es un conflicto de interés inherente: el negociador tiene incentivos para que el resultado favorezca al atacante, porque gana más cuanto más se paga y no tiene ningún aliciente para bajar el precio.

"Necesita haber más transparencia en el proceso, porque nadie en el ecosistema debería estar ganando dinero puramente por el tamaño de la transacción", declaró Camillo.

El Departamento de Justicia de EE.UU. ya está actuando. El 7 de octubre imputó a Zohar Pinhasi, CEO de MonsterCloud, por fraude electrónico y conspiración: habría cobrado a sus clientes por remediar ataques sin pagar a los hackers, mientras en secreto sí les pagaba, con US$8 millones girados a los grupos de ransomware frente a US$19 millones facturados a las víctimas.

En julio, Angelo Martino, negociador de 41 años radicado en Florida, fue sentenciado a 70 meses de prisión por conspirar con el grupo Blackcat/ALPHV para extorsionar a múltiples víctimas. Según TechTimes, los cinco clientes que traicionó pagaron en conjunto US$75,3 millones en rescates, y el sector sigue operando sin licencias, sin código de ética y sin auditoría obligatoria de las comunicaciones entre negociadores y atacantes.

Qué significa esto para tu startup

La mayoría de las startups hispanohablantes no tiene un equipo interno de respuesta a incidentes. Cuando llega el ransomware, la decisión se delega, muchas veces por indicación de la aseguradora, a una firma externa. Y ahí es donde se concentra el riesgo.

Tres datos que cambian el cálculo:

• Pagar no garantiza nada. En diciembre de 2024, ShinyHunters extorsionó a la empresa de tecnología educativa PowerSchool, robando información privada de 62 millones de estudiantes y 9,5 millones de profesores en EE.UU. y Canadá. PowerSchool pagó US$2,85 millones, y aun así, para mayo de 2025 varios distritos escolares seguían recibiendo demandas de rescate separadas usando muestras de los mismos archivos robados.
• El FBI recomienda no pagar a este grupo. En una alerta del 15 de mayo de 2026 advirtió que ShinyHunters no destruye ni devuelve los datos: los conserva, los revende o los usa para extorsionar después a los clientes de la víctima.
• Las firmas que se niegan a facilitar pagos son reemplazadas. Según los expertos citados, cuando una víctima decide pagar, las empresas de respuesta que se oponen a premiar extorsionadores suelen ser sustituidas por otras que no tienen ese reparo.

Acciones concretas antes de que te toque

1. Exige separación de canales y auditoría. Antes de firmar con cualquier firma de respuesta a incidentes, pide por contrato que las comunicaciones con atacantes corran por canales segregados y con registro obligatorio, y que exista derecho de auditoría por un tercero. Hoy ninguna regulación lo exige: es tu única protección.

2. Pregunta por la estructura de honorarios. Si el proveedor cobra un porcentaje del rescate pagado, tienes un incentivo desalineado en tu contra. Coveware eliminó las comisiones por procesamiento de pagos de rescate para sus clientes, argumentando que el asesoramiento sobre pagos debe ser completamente objetivo y libre de sesgos de incentivo, según reportó TechTimes. Pide lo mismo por escrito.

3. Verifica conflictos de interés del equipo asignado. Pregunta si la firma hace screening en tiempo real contra registros de afiliados conocidos de grupos de ransomware, y si exige declaración de cualquier relación previa entre sus negociadores y la infraestructura de un grupo. Es una categoría de due diligence que prácticamente no existía antes de este caso.

4. Ten el plan antes del incidente. La decisión de pagar o no se toma en horas, con el negocio caído y presión de todos lados. Define de antemano quién decide, qué umbral de datos activa la notificación a autoridades y qué proveedor tienes precontratado. Negociar esas condiciones durante la crisis es lo que empuja a las empresas a aceptar términos que nunca revisaron.

Conclusión

El caso ShinyHunters deja una lección incómoda: la industria que se creó para proteger a las víctimas de extorsión opera sin licencias, sin código de ética y sin trazabilidad, y eso la vuelve infiltrable. El FBI ya centralizó la investigación en Texas y las fuentes del medio anticipan más imputaciones contra directivos de otras firmas de negociación.

Para un founder, la conclusión práctica es simple: la ciberseguridad no se terceriza sin preguntas. El proveedor que contratas en el peor momento de tu empresa tiene acceso a tu posición financiera más sensible. Elegirlo con el mismo rigor con que eliges a tu abogado o a tu CFO no es paranoia: es gobernanza.

Fuentes

• KrebsOnSecurity - Feds Suspect Ransom Negotiator Ran ShinyHunters Extortion Site
• KrebsOnSecurity - FBI Arrests Executive at Ransomware Negotiation Firm
• Cybernews - Feds say ransom negotiator actually ran ShinyHunters extortion site
• Hackread - FBI Arrests Ransomware Negotiation Firm Co-Founder in ShinyHunters Probe
• TechTimes - Ransomware Negotiator's Insider Betrayal Cost 5 Clients $75M