Detuvieron en Jordania a «Rey», un integrante clave de ShinyHunters, y colabora con el FBI para identificar a los autores del hackeo, según Reuters

Actualización 04/10, 04:35 ART: detienen en Jordania a «Rey», que colabora con el FBI

Saif al-Din Khader, un integrante clave de ShinyHunters conocido en línea como «Rey» y acusado de participar en el robo de datos del personal del FBI, fue detenido esta semana en Jordania y colabora con el FBI y con otras fuerzas de seguridad para identificar a sus compañeros, informó Reuters el sábado 3 de octubre. La agencia citó a tres fuentes al tanto del caso: dos dijeron que fue detenido el martes 29 de septiembre y dos, que está cooperando. «Su colaboración es clave para los esfuerzos en curso por arrestar a estos hackers», dijo una de ellas, según la cita que reprodujo BleepingComputer. Reuters aclaró que no pudo confirmar de inmediato las circunstancias de la detención ni dónde se encuentra ahora. Ni el FBI ni el gobierno jordano se pronunciaron públicamente.

Según BleepingComputer, investigadores en ciberseguridad ya vinculaban a «Rey» con la operación de ransomware HellCat y con robos de datos a Telefónica (enero de 2025) y Orange Rumania (febrero de 2025). Es el segundo arresto conocido en la investigación: la Policía de los Países Bajos confirmó que en septiembre detuvo en Ámsterdam a un hombre de 24 años en una causa sobre ShinyHunters, que medios especializados identificaron como Pepijn van der Stap, alias «Umbreon», según IBTimes y BleepingComputer.

Tras esa detención, el subdirector de la División Cibernética del FBI, Brett Leatherman, se dirigió al resto del grupo en un video: «Ustedes saben cómo encontrarnos y nosotros sabemos cómo encontrarlos. Les sugiero que se comuniquen primero, mientras la decisión todavía es suya», según Nextgov. «Los arrestos suelen cambiar quién está dispuesto a hablar», agregó. Según ese medio, ShinyHunters vulneró a más de 140 organizaciones y cobró al menos USD 70 millones en extorsiones desde el año pasado.

Actualización 28/09, 17:25 ART: el FBI declaró internamente un «incidente de ciberseguridad»

El FBI notificó a sus empleados que declaró un «incidente de ciberseguridad» por la intrusión en su portal de empleo, según reveló el periodista Ken Dilanian, de MS NOW, y recogió TechCrunch este lunes. De acuerdo con esa notificación interna, fechada el 26 de septiembre, quedaron expuestos nombres, domicilios, cargos y números de seguro social; según TechCrunch, los datos robados incluyen además información médica, como registros de análisis de sangre y orina e informes psiquiátricos.

Hasta ahora, la postura pública del FBI era que el robo de datos estaba «todavía sin determinar». ShinyHunters, que se atribuyó el ataque, le dijo a TechCrunch que tiene datos «de casi todo el FBI». Según el medio, los atacantes explotaron una vulnerabilidad en un servidor Oracle PeopleSoft que alojaba información de recursos humanos, y el portal de empleo seguía fuera de línea. El FBI no difundió un comunicado público sobre el alcance del incidente.

Actualización 27/09, 17:10 ART: los hackers dicen tener registros médicos y psiquiátricos del personal

ShinyHunters afirma que del FBI no sólo se llevó datos de contacto, sino también información médica de su personal: evaluaciones de salud mental, pruebas de «aptitud para el servicio», recetas, visitas clínicas y altas, según una exclusiva de Reuters publicada el viernes 25 de septiembre. El grupo dice que el material salió de FBIjobs.gov, del sistema de registros médicos del personal (FBI MedLink), del sistema de evaluación de postulantes y antecedentes y de la unidad de servicios contratados de investigación de antecedentes. Reuters aclaró que no pudo corroborar de qué sistemas provienen los datos.

La agencia autenticó parcialmente algunos archivos: dos números de seguro social coincidieron con registros de burós de crédito, la fecha de una evaluación de salud mental de un analista resultó consistente con su perfil de LinkedIn y el nombre de un psiquiatra del FBI que figura en los documentos coincidió con un perfil con ese cargo. Entre los archivos revisados había un electrocardiograma y evaluaciones con detalles médicos. El FBI dijo el miércoles que investiga «de manera agresiva» el presunto robo y no hizo comentarios sobre los registros específicos, según Reuters.

El grupo afirma haber usado una falla de Oracle PeopleSoft para entrar por el portal FBIjobs.gov. Reuters y 404 Media verificaron parte de los datos, pero no que provengan de sistemas del FBI.

El FBI dijo que investiga una presunta intrusión en su portal de empleo, FBIjobs.gov, después de que el grupo de extorsión digital ShinyHunters asegurara haber vulnerado sus sistemas y robado datos de casi todos los agentes del organismo y de las personas que se postularon para trabajar allí. “El FBI está al tanto de las afirmaciones sobre actividad no autorizada que afecta a FBIjobs.gov y está investigando”, dijo un vocero a 404 Media y a BleepingComputer. El organismo no confirmó ni negó que se hayan robado datos.

Qué dicen los hackers

Según ShinyHunters, el ataque se produjo en la noche del lunes 21 de septiembre. El grupo sostiene que aprovechó una vulnerabilidad desconocida hasta ahora (un zero-day) en un servidor de Oracle PeopleSoft que el FBI usa para recursos humanos y postulaciones, y que desde allí saltó a la nube gubernamental de Amazon (AWS GovCloud). Afirma haberse llevado entre 2 y 3 terabytes con nombres, domicilios, teléfonos y datos de cónyuges de empleados actuales y anteriores y de postulantes.

El grupo dijo que su motivación no es económica y que actuó en represalia por una alerta que el FBI publicó sobre ShinyHunters en mayo. Le dio al organismo una semana para corregir o retirar ese informe.

Qué se pudo verificar

• Reuters cotejó nombres y domicilios de la muestra con registros de burós de crédito y filtraciones anteriores y encontró coincidencias en al menos nueve casos, pero no pudo confirmar que los datos provinieran de sistemas del FBI ni la autenticidad de una captura del sitio de reclutamiento alterado.
• 404 Media revisó una muestra de 5.000 registros y comprobó que varios teléfonos correspondían a personas con esos nombres y que algunos estaban asociados a personal del Departamento de Justicia.
• BleepingComputer aclaró que no verificó de forma independiente la falla, el acceso a la nube ni el volumen de datos.

El sitio de empleo del FBI y el portal para postulantes a agente especial aparecían fuera de servicio, según Reuters y TechCrunch.

El antecedente de PeopleSoft

No es la primera vez que ShinyHunters apunta a ese software. En junio, el Grupo de Inteligencia de Amenazas de Google documentó la explotación de otra falla de PeopleSoft (CVE-2026-35273) por parte del grupo contra más de 100 organizaciones, en su mayoría universidades, y Oracle emitió una alerta de seguridad fuera de su calendario habitual. Ahora el grupo afirma haber encontrado una vulnerabilidad nueva y dice que la usará contra grandes empresas.

Por qué importa

Si se confirmara, la filtración expondría datos personales de agentes federales y de sus familias, un riesgo de seguridad que va más allá del FBI. También pondría bajo presión a Oracle y a los organismos y empresas que usan PeopleSoft. Por ahora, lo confirmado es que el FBI investiga y que parte de los datos de la muestra corresponden a personas reales; el origen y el alcance del robo siguen sin verificar.