ShinyHunters declara a The Reg: «Hackeamos al FBI para “proteger nuestro negocio”»

El grupo de ci­ber­de­lin­cuen­tes co­no­ci­do como ShinyHun­ters de­cla­ró que llevó a cabo una in­fil­tra­ción en el FBI con el ob­je­ti­vo de pro­te­ger su repu­tación y su mo­de­lo de ne­go­cio de ex­tor­sión y robo de datos. Tras la con­fir­ma­ción del ata­que por parte del or­ga­nis­mo de se­gu­ri­dad, los ata­can­tes afir­ma­ron haber in­gre­sa­do al por­tal de em­pleo de la agen­cia a tra­vés de una vul­ne­ra­bi­li­dad de día cero en un sis­te­ma de soft­wa­re, lo­gran­do sus­traer ar­chi­vos per­so­na­les de nu­me­ro­sos em­plea­dos ac­tua­les, an­te­rio­res y as­pi­ran­tes.

Los por­ta­vo­ces del grupo de­lic­ti­vo se­ña­la­ron que la in­tru­sión no tuvo mo­ti­va­cio­nes eco­nó­mi­cas ni buscó un pago de res­ca­te, sino que fun­cio­nó como una ini­cia­ti­va de re­la­cio­nes pú­bli­cas y mar­ke­ting. Según su ver­sión, el ata­que sir­vió para de­mos­trar sus ca­pa­ci­da­des téc­ni­cas y re­fu­tar de forma di­rec­ta las acu­sa­cio­nes pu­bli­ca­das en un bo­le­tín ofi­cial de la agen­cia, el cual afir­ma­ba que el grupo em­plea­ba tác­ti­cas de acoso y men­tía sobre la po­se­sión de in­for­ma­ción com­pro­me­te­do­ra.

Asi­mis­mo, la agru­pa­ción in­di­có que este tipo de ac­cio­nes busca re­for­zar su cre­di­bi­li­dad ante fu­tu­ros so­cios cor­po­ra­ti­vos y de­mos­trar que ope­ran con pro­fe­sio­na­lis­mo para fa­ci­li­tar las ne­go­cia­cio­nes y los pagos de ex­tor­sión. Pese a que sus ac­ti­vi­da­des afec­tan a mi­llo­nes de per­so­nas, in­clui­dos es­tu­dian­tes y pa­cien­tes, los in­frac­to­res ar­gu­men­ta­ron que sus ata­ques se di­ri­gen ex­clu­si­va­men­te con­tra las es­truc­tu­ras cor­po­ra­ti­vas y que los daños fi­nan­cie­ros sue­len ser cu­bier­tos por pó­li­zas de se­gu­ros.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las po­si­bles con­se­cuen­cias le­ga­les di­rec­tas para los miem­bros ac­tua­les de ShinyHun­ters ni sobre la res­pues­ta ofi­cial de­ta­lla­da de la em­pre­sa fa­bri­can­te del soft­wa­re afec­ta­do res­pec­to al fallo de se­gu­ri­dad uti­li­za­do en la vul­ne­ra­ción.