Una filtración del FBI sacó a la luz a personas vinculadas con la unidad secreta de hackers ROU.

Los piratas informáticos que afirmaron haber robado los datos de personal del FBI podrían haber alcanzado a personas de una de las unidades más reservadas de la oficina. En el conjunto de datos se encontraron integrantes de la Unidad de Operaciones Remotas (ROU), el equipo que desarrolla sus propias herramientas para vulnerar ordenadores y dispositivos móviles.

ShinyHunters afirma haber obtenido información sobre empleados actuales y antiguos del FBI, así como sobre candidatos para trabajar en la agencia. El grupo entregó a periodistas una muestra de aproximadamente 5000 registros con nombres, direcciones particulares, teléfonos y datos sobre familiares. Parte de la información pudo cotejarse con fuentes abiertas.

El propio grupo declara el robo de entre 2 y 3 TB de información. El FBI, el 23 de septiembre, confirmó que investiga las afirmaciones sobre la compromisión de FBIJobs.gov y una posible fuga de datos personales de empleados. No obstante, la oficina aún no ha determinado si el punto de entrada estuvo dentro de su propia infraestructura o en un contratista externo.

Según ShinyHunters, el acceso se logró mediante una vulnerabilidad hasta entonces desconocida en Oracle PeopleSoft, que el grupo descubrió y transformó por su cuenta en una herramienta de ataque operativa. Se trata de una vulnerabilidad de día cero, para la cual no existía una corrección pública en el momento del ataque. Oracle y el FBI no han confirmado de forma independiente este escenario.

El motivo del ataque también parece inusual. ShinyHunters afirma que no exige dinero, sino que busca que se modifique una alerta publicada en primavera por el FBI sobre las actividades del grupo. En mayo la oficina ya advirtió a las instituciones educativas estadounidenses sobre los ataques de ShinyHunters y los métodos vinculados al grupo para presionar a las víctimas.

Los registros relacionados con la Unidad de Operaciones Remotas resultaron especialmente sensibles. La unidad forma parte del aparato tecnológico del FBI y se ocupa de crear o adquirir medios para el acceso encubierto a dispositivos ajenos. Hay muy poca información pública sobre la composición de la ROU, aunque la propia unidad ya aparecía en documentos del Departamento de Justicia hace varios años.

El peligro de una fuga así va mucho más allá de la simple comprometación de una base de personal. Al relacionar nombres con unidades, cargos, direcciones particulares, teléfonos y familiares, los atacantes pueden trazar un mapa del personal involucrado en las operaciones más delicadas. Un conjunto de datos de ese tipo interesa no solo a ciberdelincuentes, sino también a servicios de inteligencia extranjeros.

Precisamente empleados de la unidad hacker secreta figuraban entre los registros que se lograron identificar en la fuga del FBI. Los periodistas no divulgan públicamente los nombres ni otros datos personales de los miembros de la ROU.

ShinyHunters aún no ha publicado el conjunto completo, por lo que el volumen y la composición denunciados de la información robada permanecen sin confirmar. El FBI continúa la investigación, y la cuestión principal ahora no es solo la escala de la fuga, sino hasta qué punto los datos de personal sustraídos permiten reconstruir la estructura interna y la composición de las unidades cerradas de la oficina.

La propia marca ShinyHunters ha sobrevivido a varios arrestos sonados y al cierre de plataformas clandestinas. ShinyHunters sigue llevando a cabo ataques importantes incluso después de las acciones de las fuerzas del orden contra sus integrantes e infraestructura.

Varios meses antes del caso del FBI, el nombre ShinyHunters se vinculó a otra filtración masiva. Tras el ataque a la plataforma educativa Canvas se habló de datos de hasta 275 millones de personas, y los atacantes afirmaron que posteriormente eliminaron la información robada.

La situación resulta especialmente notable frente a las propias operaciones técnicas del FBI. En enero de 2025 la oficina comprometió de forma remota 4200 ordenadores en EE. UU. para eliminar el malware chino PlugX. Ahora están en riesgo de exposición personas de la estructura que se especializa precisamente en ese tipo de operaciones.