La policía neerlandesa detiene al presunto líder de ShinyHunters mientras crece el impacto de la brecha del FBI

El martes 29 de septiembre de 2026, el FBI y la policía neerlandesa anunciaron la detención de un presunto líder de ShinyHunters, el grupo de extorsión que vinculan a robos de datos en más de 140 organizaciones de todo el mundo. La policía neerlandesa dijo que el sospechoso es un hombre de 24 años de Ámsterdam cuya identidad no reveló, detenido el 15 de septiembre por sospecha de «participar en una organización criminal». En una vista celebrada ese mismo día, el Tribunal de Distrito de Róterdam ordenó mantenerlo en prisión preventiva al menos 90 días más.

Lectura relacionada: ShinyHunters reclama 284 millones de registros de McKesson y crece la brecha sanitaria · La filial de internet de Sony en Japón dice que una brecha expuso 2,6 millones de registros.

El anuncio puso el broche a dos semanas en las que el caso de piratería y una acusación distinta y más grave se hicieron públicas casi al mismo tiempo. El portátil incautado al hombre también está en el centro de una investigación neerlandesa sobre si intentó organizar dos asesinatos en el extranjero, una sospecha que la policía dice que no está relacionada con la investigación sobre ShinyHunters. Y la detención llegó días después de que ShinyHunters afirmara haber entrado en los propios sistemas de solicitudes de empleo del FBI y robado datos sensibles de personal.

Qué anunció la policía neerlandesa

El comunicado de la policía neerlandesa dice que el hombre fue detenido el martes 15 de septiembre por la Unidad Nacional de Investigación e Intervención, con el Equipo de Delitos de Alta Tecnología llevando la investigación sobre ShinyHunters bajo la Fiscalía nacional. Fue retenido por sospecha de participar en una organización criminal, que el comunicado identifica como ShinyHunters.

Tras incautarse de sus dispositivos, la policía dijo que encontró una gran cantidad de información en su portátil, «incluida sobre dos asesinatos que debían cometerse en el extranjero», según la traducción de TechCrunch del comunicado. La policía dijo que hay indicios de que dio la orden, y que por eso también se le investiga por incitación en grado de tentativa a cometer dos asesinatos, una sospecha que el comunicado sitúa al margen de la investigación sobre ShinyHunters. La policía dijo que no se descartan más detenciones.

Stan Duijf, el responsable de la estrategia contra la ciberdelincuencia de la policía, dijo en el comunicado que ShinyHunters ha causado un gran número de víctimas en los Países Bajos y en el extranjero y que el cuerpo se felicitaba por detener a un sospechoso en la investigación sobre el grupo. El comunicado también señala que el hombre no fue detenido en la investigación de Odido, la brecha en la teleco neerlandesa que comprometió datos de más de 6,2 millones de personas. Ese caso sigue abierto, y la policía neerlandesa ha pedido ayuda al público para identificar una voz escuchada en una llamada de febrero de 2026 usada para manipular a un empleado de Odido.

El sospechoso y una negación

La policía neerlandesa no reveló el nombre del hombre. KrebsOnSecurity informó de que tres fuentes lo identificaron como Pepijn van der Stap, y Reuters y Bloomberg lo nombraron después. Reuters informó de que Benjamin Korper, directivo de la empresa neerlandesa de ciberseguridad Neo Security, confirmó la identidad y describió a van der Stap como responsable de seguridad ofensiva de la compañía. TechCrunch describió el mismo puesto como director de tecnología, así que los relatos públicos de su cargo difieren.

Reuters también informó de que Korper dijo que investigadores forenses neerlandeses visitaron su oficina la noche del 15 de septiembre, cuando van der Stap fue detenido en una redada en la que se usaron granadas aturdidoras. Korper dijo a Reuters que había investigado a van der Stap antes de contratarlo y que lo vigiló durante su empleo.

«Creo de verdad que la gente merece una segunda oportunidad, pero en este caso no me lo agradecieron», dijo Korper, y añadió que una firma externa que contrató no ha encontrado hasta ahora pruebas de que van der Stap actuara contra Neo Security o sus clientes. «Absolutamente todos con los que he hablado están estupefactos», dijo.

Van der Stap tenía una condena previa. Krebs informó de que fue condenado en 2023 por una serie de robos de datos y extorsiones que, según la acusación, le reportaron entre 1,5 y 2,7 millones de euros, y fue sentenciado a cuatro años de prisión, uno de ellos suspendido. Salió en libertad en diciembre de 2025. Después se presentó como reformado, trabajando como ingeniero de software en la startup de seguridad Hadrian y como voluntario en el Instituto Neerlandés para la Divulgación de Vulnerabilidades antes de incorporarse a Neo Security, según Krebs. Bloomberg lo perfiló en 2024 como un investigador que también extorsionaba a empresas.

ShinyHunters, por su parte, niega cualquier conexión. El grupo dijo a TechCrunch que van der Stap «no tiene ninguna asociación con nosotros», y dijo a Reuters que no tenía «ninguna asociación» a la vez que tachaba de incompetente a la policía neerlandesa.

La brecha del FBI detrás de la detención

La detención siguió a una brecha en el portal de solicitudes de empleo del FBI. La oficina comunicó a sus empleados que su información personal, incluidos nombres, direcciones, cargos y números de la Seguridad Social, había quedado expuesta en lo que calificó de incidente de ciberseguridad. ShinyHunters dice que robó datos de «casi todos» los agentes y aspirantes de la oficina al entrar en apply.fbijobs.gov, el sitio de empleo del FBI, y que hizo circular muestras entre periodistas junto con una exigencia de extorsión.

La BBC informó de que había visto exámenes médicos de «aptitud para el trabajo» con resultados de análisis de sangre y orina y notas de médicos, junto a los nombres completos y las direcciones de los agentes. Reuters informó de que el material robado también incluía historiales de evaluaciones psiquiátricas y médicas, y dijo que autenticó parcialmente varios archivos, entre otras cosas cruzando números de la Seguridad Social con datos de agencias de crédito. El grupo afirmó tener entre 2 y 3 terabytes, y la BBC señaló que primero reclamó datos de unos 38.000 empleados actuales antes de decir que la cifra podría rondar los 60.000 trabajadores actuales y antiguos.

Un memorando interno del FBI decía que la oficina trabajaba con la presunción de que los piratas robaron datos de todos los empleados, informó Reuters. En declaraciones públicas, el FBI ha dicho que «investiga con agresividad» el incidente y «trabaja sin descanso», y que examina si la brecha llegó a través de un proveedor externo.

Los piratas dijeron a TechCrunch que la brecha no tenía motivación económica y que no publicarían los datos robados del FBI, y afirmaron que era «para dejar claro un punto y rebatir las acusaciones contra nosotros, y lo hemos hecho». Antes, según la BBC, habían amenazado con publicar todo el conjunto de datos salvo que el FBI retirara un aviso de mayo que el grupo dijo que le había ofendido.

La dimensión de contrainteligencia de los datos médicos

Los historiales médicos convierten una brecha de datos en un problema de contrainteligencia. El exagente del FBI Eric O'Neill dijo a Reuters que la presencia de datos médicos acercaba el ataque a la magnitud de la intrusión de 2015 en la Oficina de Gestión de Personal y que el botín atraería a servicios hostiles.

«Me sorprendería que la inteligencia rusa no estuviera llamando a su puerta para decir: “Queremos esas cosas, entréguenlas”», dijo O'Neill.

Etay Maor, vicepresidente de inteligencia de amenazas de Cato Networks, dijo a la BBC que los datos no pueden restablecerse como una contraseña. «Las contraseñas pueden restablecerse si las roban, pero los historiales médicos no, así que una vez que estos datos salen, quedan comprometidos para siempre», dijo. Ciaran Martin, el antiguo responsable del Centro Nacional de Ciberseguridad del Reino Unido, describió el ataque, de confirmarse, como «lo más grave que puede haber en una brecha de datos», informó la BBC.

Nombres vinculados a destinos, historiales de salud y datos de contacto pueden facilitar el chantaje, la suplantación de agentes de la ley y el phishing adaptado a agentes concretos. Reuters informó de que parte de los datos se refieren a agentes que trabajan en Rusia, China y los cárteles de la droga, y 404 Media informó de que quedaron expuestos detalles de una unidad de piratería poco conocida del FBI. La combinación de datos de destino e historiales médicos es lo que distingue este incidente de una filtración corporativa típica.

Cómo se dice que opera el grupo

ShinyHunters lleva activo desde 2019 y se le acusa de brechas en Pornhub, Ticketmaster y AT&T, además del hackeo de Odido en los Países Bajos. Leatherman dijo que el grupo suele atacar a proveedores externos en plataformas en la nube, robar datos y extorsionar a las víctimas con amenazas de publicarlos.

Krebs informó de que el grupo obtuvo acceso explotando CVE-2026-35273, un fallo en el software de recursos humanos PeopleSoft de Oracle, que según los informes usó como zero-day desde junio. Un informe de Mandiant y el Grupo de Inteligencia de Amenazas de Google del 25 de septiembre confirmó la explotación masiva del fallo en sectores como la educación superior, la tecnología, la sanidad y el gobierno. BleepingComputer informó después de que el grupo usó un truco de codificación de URL para eludir las reglas de cortafuegos de aplicaciones web que Mandiant había recomendado.

Las estimaciones del botín del grupo varían según la fuente y el alcance. Leatherman dijo que ShinyHunters había obtenido «al menos 70 millones de dólares en pagos de extorsión» desde el año pasado, mientras que Krebs publicó la estimación de un investigador de Mandiant según la cual el grupo va camino de recaudar casi 100 millones en 2026. Las cifras abarcan periodos y definiciones de pago distintos, y deben leerse como estimaciones separadas y no como un único total.

Krebs también informó de que fuentes describen un cambio en el liderazgo del grupo, con un operador adolescente que usa el nombre Rey y que habría tomado el control de la marca ShinyHunters como parte de un grupo fusionado, y de que una desfiguración con motivos de Umbreon dejada en el sitio de empleo del FBI podría haber sido un intento de implicar al sospechoso neerlandés. Esos relatos provienen de fuentes que hablaron con Krebs y no han sido confirmados por las autoridades.

Salvedades y qué observar

La salvedad central es jurídica. El hombre es un sospechoso, no una persona condenada en este caso. La ley neerlandesa lo presume inocente, y la acusación de asesinato es una línea de investigación aparte que la policía ha vinculado a pruebas halladas en su portátil, pero no al caso de piratería. La policía no ha revelado su nombre, y la identificación procede de la información de Krebs, Reuters y Bloomberg, no de un comunicado oficial. El título de su puesto en Neo Security también aparece descrito de forma distinta según el medio.

La magnitud de la brecha del FBI depende en gran medida de las afirmaciones de los piratas y de documentos que los periodistas han revisado y autenticado en parte. El FBI no ha publicado un recuento completo de quién se vio afectado ni de cuántos registros se llevaron, y un grupo con interés en inflar su acceso es la fuente de varias de las cifras más altas.

Tres cosas que observar. Primero, si los fiscales neerlandeses presentan cargos y si la policía practica más detenciones; el comunicado dijo que no se descartan nuevas detenciones. Segundo, qué pasa con los datos del FBI. La postura pública del grupo ha pasado de amenazar con publicarlos a prometer que los retendrá, y eso podría cambiar. Tercero, si el fallo de PeopleSoft sigue produciendo brechas. Una vulnerabilidad parcheada, un exploit conocido y un bypass de cortafuegos publicado son los ingredientes de una campaña larga, y las organizaciones que usan PeopleSoft tienen una ventana estrecha para confirmar que están parcheadas.

Para el FBI, la detención aparta a un presunto operador. La oficina aún no sabe cuántos datos sensibles de personal están ahora fuera de su control, ni quién podría estar dispuesto a comprarlos.

Imagen: El edificio J. Edgar Hoover, la sede del FBI en Washington D. C. Fotografía de ajay_suresh vía Wikimedia Commons, CC BY 2.0.