ZDU · Perfil de adversario · Robo de datos y extorsión
SHINYHUNTERS
El grupo que no cifra nada. Se lleva expedientes de personal, de nómina y de alumnos, y cobra por no publicarlos. En septiembre de 2026 llegó al portal de empleo del FBI por un parche que ya existía y que un contratista no instaló.
UNC6240Scattered LAPSUS$ HuntersOracle PeopleSoftActivo desde 2020
9.8
CVSS de la falla de PeopleSoft
100+
Organizaciones en la primera ola
68%
De ellas, universidades
2
Oleadas contra PeopleSoft
01
Ficha del adversario
Qué es
Un grupo de robo de datos y extorsión que aparece en 2020. No cifra equipos ni vende una llave para recuperarlos: se lleva la información y cobra por no publicarla en su sitio de filtraciones.
Cómo se le conoce
ShinyHunters es la marca. Google sigue su extorsión como UNC6240 y separa en otros dos grupos de actividad el engaño telefónico (UNC6040) y el robo de tokens de integraciones (UNC6395). Desde agosto de 2025 opera bajo la sombrilla Scattered LAPSUS$ Hunters.
Qué busca
Datos de personas: recursos humanos, nómina, alumnos y clientes. En 2020 fueron bases de datos completas; en 2024, la ola de robos en clientes de Snowflake; en 2025, Salesforce; en 2026, los sistemas de recursos humanos y control escolar.
Cómo presiona
Publica a la víctima y después sus datos. Según el FBI, también manda mensajes y hace llamadas amenazantes a víctimas y a sus familias, y en algunos casos llama a la policía con denuncias falsas para mandarla a un domicilio.
Por dónde entra
Por tres puertas: una falla sin parche en un sistema expuesto a internet, llamadas que se hacen pasar por soporte técnico para quedarse con cuentas de inicio único, y tokens robados a aplicaciones conectadas a plataformas SaaS.
Dónde está hoy
Bajo presión. El 15 de septiembre de 2026 la policía de Países Bajos detuvo en Ámsterdam a un hombre de 24 años al que el FBI llama uno de los presuntos líderes. El FBI pidió a los demás que se entreguen, habló de más de 140 organizaciones atacadas y al menos 70 millones de dólares extorsionados, y el 5 de octubre confirmó múltiples arrestos, sin nombres.
02
El caso que lo define: el parche que no se puso
27 may 2026Empieza a explotar CVE-2026-35273 en Oracle PeopleSoft como día cero: una falla en un módulo administrativo de PeopleTools que permite tomar el servidor por internet sin usuario ni contraseña.
9 junPublica datos robados en su sitio de filtraciones, un día antes de que existiera una alerta del fabricante. Se llevó datos de recursos humanos, nómina y alumnos.
10 y 11 junOracle publica una alerta fuera de ciclo. Mandiant notifica a más de cien organizaciones; el 68% son universidades, la mayoría en Estados Unidos.
12 junCISA agrega la falla a su catálogo de vulnerabilidades explotadas (KEV).
22 sepDesfigura el portal de empleo del FBI y asegura haberse llevado datos de empleados. El FBI confirma que investiga y apaga los sistemas afectados.
25 sepMandiant reporta una nueva oleada masiva contra PeopleSoft en educación, tecnología, salud, transporte y gobierno. Esta vez va contra quien solo puso reglas en el firewall de aplicaciones y no instaló el parche, y las esquiva.
6 octEl FBI explica la causa: un contratista no implementó un parche emitido para asegurar esa plataforma, administrada por un tercero. Lo retira. Reuters identifica la plataforma como PeopleSoft.
En el FBI no fue un día cero: según el propio FBI, el parche ya existía. La regla del firewall compra tiempo; el parche cierra la puerta. Y si la puerta la cuida un tercero, el riesgo sigue siendo de usted.
03
Lo que no hay que mezclar
Oracle PeopleSoft, 2026
Es ShinyHunters. CVE-2026-35273, CVSS 9.8, en el módulo Environment Management Hub de PeopleTools. Afecta las versiones soportadas 8.61 y 8.62, y Oracle advierte que las anteriores sin soporte probablemente también.
Oracle E-Business Suite, 2025
Es Cl0p, otro grupo. Google no liga a ShinyHunters con esa explotación, y en septiembre de 2026 ShinyHunters hackeó el sitio de filtraciones de Cl0p. Son rivales. Cl0p se cuenta en la ficha de GOLDVEIN.
Salesforce, 2025
No fue una falla del producto. Fueron llamadas que se hacían pasar por soporte para que un empleado autorizara una aplicación maliciosa, y tokens robados a integraciones conectadas a la plataforma.
Scattered Spider
Es socio, no otro nombre del mismo grupo. Desde agosto de 2025 comparten la sombrilla Scattered LAPSUS$ Hunters, junto con gente de Lapsus$, y la misma puerta favorita: la mesa de ayuda. Tiene ficha propia.
04
Presencia en México
En nuestro rastreo
Una víctima mexicana publicada por ShinyHunters, del sector transporte y logística, en 2025. Llegó por la plataforma de clientes de un proveedor, no por PeopleSoft.
Por la vía de PeopleSoft
Una automotriz global reveló en junio de 2026 que el robo incluyó datos de empleados en México, junto con los de Estados Unidos, Canadá y Brasil: contacto, datos bancarios, identificación y dependientes. No hay cifra pública de afectados en México.
El riesgo más probable no es que ataquen su PeopleSoft en México. Es que los datos de sus empleados mexicanos vivan en un PeopleSoft o en un SaaS de su corporativo o de un proveedor que usted no administra, como pasó en los dos casos con huella mexicana. Mandiant no menciona víctimas en Latinoamérica en la campaña de PeopleSoft. Como en todas las fichas, se publica el sector y el año, nunca el nombre de la empresa.
05
Qué revisar esta semana
01Inventario. ¿Tiene PeopleSoft propio, en la nube o administrado por un tercero o por su corporativo? Incluya nómina y control escolar.
02Parche con evidencia. Confirme que PeopleTools tiene el parche de la alerta de Oracle de junio de 2026, con fecha y captura, no con un «sí» por correo. Si la versión ya no tiene soporte, trátela como vulnerable.
03Exposición. Si no puede parchar hoy, desactive el módulo Environment Management Hub y ciérrelo a internet. No se quede solo con la regla del firewall.
04Huellas. Busque señales de intrusión desde el 27 de mayo con la guía pública de Mandiant. Si aparece algo, trate el servidor como comprometido y rote las credenciales que usa la cuenta de servicio de PeopleSoft.
05Terceros. Pida por escrito a cada proveedor que administra su ERP, sus sistemas de recursos humanos o sus SaaS la fecha en que aplicó cada parche de la lista KEV, y ponga en contrato un plazo máximo para parches críticos.
06Mesa de ayuda y SaaS. Verifique fuera de la llamada a quien pide cambiar una contraseña o un MFA, y revise las aplicaciones conectadas por OAuth a Salesforce y plataformas similares.
06
Análisis publicados en qma.mx
El perfil que lee un CISO no es el del reporte de fabricante: es a quién tiene enfrente, con qué opera y a quién ya golpeó en su sector. Eso es lo que hace Blacktrace todos los días.
Hablar con el equipo QMA