ShinyHunters amplia la seva infraestructura de filtracio i promet mantenir les dades robades online “fins a la fi dels temps”: per que el grup d'extorsio mes resilient del cibercrim no pot ser aturat

El 18 de juny de 2026, el grup d'extorsio ShinyHunters va anunciar al seu lloc de filtracions una ampliacio significativa de la seva infraestructura: nous servidors mirall, distribucio d'arxius mitjançant torrent i un sistema de cua amb prova de treball (Proof of Work) per gestionar la demanda de descarregues. El missatge del grup va ser directe: “aquests arxius romandran accessibles publicament amb facilitat fins a la fi dels temps”. L'anunci coincideix amb un informe publicat el mateix dia per Cato Networks que documenta com ShinyHunters ha sobreviscut a multiples detencions, incautacions de fors i la condemna del seu presumpte fundador des que el grup va apareixer per primera vegada el 2019. Per a les empreses espanyoles, el cas es rellevant mes enlla de l'anecdòtic: ShinyHunters es el mateix grup la campanya del qual d'explotacio del zero-day d'Oracle PeopleSoft (CVE-2026-35273) vam analitzar la setmana passada.

‍

Que ha anunciat ShinyHunters i que diu la investigacio de Cato Networks?

• Ampliacio d'infraestructura: ShinyHunters va desplegar multiples servidors mirall per als seus arxius filtrats, per millorar la velocitat i fiabilitat de les descarregues durant els pics de transit.
• Distribucio per torrent: el grup planeja oferir enllaços torrent per a tots els arxius allotjats, creant una xarxa de distribucio molt mes difícil de desmantellar.
• Sistema de cua amb Proof of Work: abans de poder descarregar dades filtrades, l'ordinador de l'usuari ha de resoldre un petit trencaclosques computacional.
• Historial de resiliència documentat per Cato Networks: malgrat multiples incautacions de fors (RaidForums, BreachForums), de sobreviure honeypots dirigits, de la condemna del presumpte fundador Sebastien Raoult el 2023 i de les detencions de diversos administradors a França l'any passat, la marca “ShinyHunters” ha reaparegut sistemàticament en qüestio de dies o setmanes.
• Evolucio cap a Scattered LAPSUS$ Hunters (SLH): el 2025, ShinyHunters es va fusionar amb altres col·lectius per formar SLH.
• Canvi de metodologia: el grup ha evolucionat cap a l'abus de logica de negoci: explotacio d'integracions SaaS de confiança, tokens OAuth i enginyeria social dirigida a taules d'ajuda.
• Víctimes reivindicades nomes al juny de 2026: Kodak, JCPenney, Madison Square Garden, Sysco (61 milions de registres via Salesforce) i Amazon One Medical, amb 8.8 TB de dades reivindicades i termini límit del 22 de juny.
• Campanya activa des de setembre de 2025: mes d'1.5 milions de registres compromesos via instancies de Salesforce mal configurades, a mes d'atacs a Snowflake, Okta, Drift i Salesloft.

‍

Per que la resiliència de ShinyHunters es la lliço mes important per a les empreses el 2026

1. El compliment de la llei ja no es disuasio suficient. Incautacions de fors, detencions d'administradors i la condemna del fundador no han aturat el grup.
2. El model de marca sobreviu als individus. ShinyHunters no es un grup tancat: es una marca de cibercrim reconeixible que atreu nous operadors.
3. El vector d'atac ha canviat de tecnic a organitzatiu. El gir cap a l'abus d'integracions SaaS i enginyeria social de help-desk fa que les defenses perimetrals tradicionals siguin cada cop menys rellevants.
4. La infraestructura d'extorsio es professionalitza al mateix ritme que les empreses atacades.

‍

El patro d'atac de ShinyHunters: de la integracio SaaS a l'extorsio publica

1. Accés inicial via integracions de confiança: explotacio d'aplicacions SaaS connectades o enginyeria social contra personal de suport tecnic.
2. Exfiltracio de dades a gran escala.
3. Llistat al lloc de filtracions amb termini.
4. Publicacio i distribucio massiva si no hi ha pagament.

‍

Lliçons clau per a empreses espanyoles

• Auditar totes les integracions SaaS connectades a sistemes crítics.
• Reforçar els protocols de verificacio al help-desk.
• Monitoritzar instàncies de Salesforce per configuracions errones.
• Preparar un protocol de resposta a extorsio amb termini.
• Assumir que les dades filtrades son permanents.

‍

La ciberseguretat com a prioritat estrategica

ShinyHunters es l'exemple mes clar d'una tendència que el sector porta documentant tot el 2026: els grups d'extorsio mes perillosos ja no son els que tenen les eines mes sofisticades, sino els que han construït un model operatiu resilient a la pressio legal.

‍

Apolo Cybersecurity: proteccio davant extorsio de dades i auditoria d'integracions SaaS

A Apolo Cybersecurity ajudem organitzacions a reduir la seva exposicio davant grups d'extorsio com ShinyHunters: auditoria d'integracions SaaS i tokens OAuth, reforç de protocols de verificacio en equips de suport tecnic, revisio de configuracio de seguretat en plataformes com Salesforce, i disseny de protocols de resposta davant notificacions d'extorsio amb termini.

‍