ShinyHunters Extorted Boeing Spin-off Prior to Arrests
Krebs on Security · 7 oct, 15:48
Qué hacer: Aplica el parche de Oracle para CVE-2026-35273 si aún no lo has hecho; implementa reglas de firewall de aplicaciones web de Mandiant actualizadas para detectar evasiones por codificación URL.
El líder adolescente de ShinyHunters, el grupo de robo de datos y extorsión prolífico conocido como «Rey», ha sido detenido en Ammán, Jordania, y coopera con el FBI para identificar otros miembros de la banda. ShinyHunters explotaba una vulnerabilidad (CVE-2026-35273) en PeopleSoft de Oracle para robar datos de organizaciones en múltiples sectores, incluido el FBI, y estaba extorsionando a Jeppesen ForeFlight, unidad de navegación recientemente vendida por Boeing.
Rey (identificado como Saif Al-din Khader) fue detenido a principios de octubre tras liderar ShinyHunters durante la explotación masiva de CVE-2026-35273 en PeopleSoft. El grupo había accedido a sistemas en educación superior, tecnología, sanidad, agricultura, transporte y gobierno. La investigación del FBI ganó urgencia cuando ShinyHunters intentó extorsionar a Jeppesen ForeFlight tras robar datos que podrían presentar riesgos operacionales y de seguridad.
La vulnerabilidad fue explotada como zero-day desde junio de 2026. Mandiant emitió reglas de firewall de aplicaciones web, pero ShinyHunters las eludió mediante un truco de codificación URL conocido. El ataque al sitio de reclutamiento del FBI expuso registros médicos y psiquiátricos de más de 5.000 empleados. Jeppesen ForeFlight afirma no haber sufrido impacto operacional, aunque Boeing reconoce las reclamaciones de extorsión. La detención de Rey coincidió con la del ciberdelincuente holandés Pepijn van der Stap el 15 de septiembre, quien supuestamente colaboraba con el grupo.
Puntos clave
- CVE-2026-35273 en PeopleSoft de Oracle, explotado como zero-day desde junio de 2026
- ShinyHunters robó datos de docenas de sistemas en sectores diversos; expuso 5.000+ registros del FBI
- Eludieron defensas de Mandiant usando codificación URL; fue necesario parchar rápidamente
- Detenido Saif Al-din Khader en Ammán; otro miembro holandés arrestado el 15 de septiembre
- Intentó extorsionar a Jeppesen ForeFlight (Boeing); Boeing vendió la unidad en noviembre de 2025 por $10.55 mil millones
Figuras de la fuente
