Una hoja de cálculo que el grupo ShinyHunters asegura haber robado al FBI no solo contiene nombres, domicilios, números de Seguridad Social y contactos de emergencia de empleados actuales y antiguos: también indica en qué oficinas trabajan y, en algunos casos, en qué unidades sensibles, con tareas sobre China, Rusia, Irán y Hezbolá. Reuters revisó el archivo de 5,000 líneas y confirmó de forma individual los datos de más de 22 personas, según resumió PYMNTS el 23 de septiembre de 2026. El FBI investiga la intrusión en su portal de empleo, FBIJobs.gov, pero todavía no sabe si el punto de entrada fue un proveedor externo o su propia infraestructura.
Qué contiene la muestra y qué se pudo comprobar
La historia salió a la luz el martes 22 de septiembre, cuando 404 Media publicó que un representante del grupo le entregó una muestra con datos personales de unos 5,000 empleados del FBI: nombre, dirección, teléfono, fecha de nacimiento y, en algunos registros, información sobre su cónyuge. El medio contrastó parte de los teléfonos con herramientas de inteligencia de fuentes abiertas y encontró que coincidían con personas del mismo nombre; algunos números aparecían asociados a personal del Departamento de Justicia.
Reuters fue un paso más allá y miró las asignaciones. Según su revisión, recogida por PYMNTS, la hoja identifica a 14 empleados dedicados a asuntos relacionados con China y a nueve en funciones vinculadas con Rusia, entre ellas puestos de la Sección de Operaciones de Rusia del FBI y trabajo sobre amenazas a infraestructura y tecnología. También aparecen tareas de ciberseguridad, vigilancia e inteligencia humana.
Reuters no pudo autenticar el archivo completo. Axios, por su parte, informó que no había podido corroborar que los datos fueran legítimos ni recientes, aunque investigadores de ciberseguridad le confirmaron que el ataque parecía real.
Por qué la asignación pesa más que el domicilio
Un domicilio expuesto es un riesgo para una persona. Saber quién trabaja contra los servicios de inteligencia de China o Rusia es información sobre cómo está organizado el FBI. Eric O'Neill, exoperativo de contrainteligencia del buró, advirtió a Reuters que los datos que identifican a quienes trabajan contra servicios extranjeros pueden ser valiosos para gobiernos hostiles. Otro ejecutivo de ciberseguridad citado por Reuters puso el foco en los contactos de emergencia, que pueden incluir a familiares con menos experiencia en el manejo de información sensible.
Andrew Brandt, especialista en respuesta a incidentes de la firma Huntress, planteó a The Record un escenario que no depende de una filtración pública:
«La mayor preocupación es que ShinyHunters venda los datos a otros grupos criminales o estatales que puedan darles un uso más dañino, en lugar de difundirlos ellos mismos».
El antecedente existe. 404 Media recordó que delincuentes del mismo entorno que ShinyHunters ya usaron datos robados, como registros telefónicos, para rastrear, intimidar y acosar a agentes del FBI que los investigaban.
Una intrusión que no pide dinero, sino una rectificación
De acuerdo con lo que el grupo dijo a 404 Media, el ataque ocurrió la noche del lunes 21 de septiembre. Al día siguiente, el sitio de empleo del FBI amaneció con un aviso de «este sitio ha sido incautado por ShinyHunters», una burla a los carteles que las autoridades colocan en las páginas que desmantelan, y con la imagen del Pokémon que el grupo usa como mascota, según The Record. El portal para solicitantes a agente especial seguía fuera de servicio el miércoles.
El grupo afirma que entró mediante una vulnerabilidad de día cero en PeopleSoft, el software de recursos humanos de Oracle, y que desde ahí saltó a servidores de AWS GovCloud, de donde asegura haber descargado entre dos y tres terabytes. Nada de eso está confirmado. Cybersecurity Dive señaló que no está claro si se trata de un fallo nuevo o de uno ya conocido, como el que Oracle divulgó en junio después de que ShinyHunters lo explotara; Oracle no respondió a ese medio.
El FBI fijó su postura el miércoles 23 en un comunicado:
«Aunque el punto de la intrusión aún no está determinado, ya sea un tercero o la infraestructura del FBI, estamos investigando este asunto de forma activa y enérgica y trabajando de cerca con los proveedores externos que dan soporte a FBIJobs.gov para mitigar todo riesgo».
La exigencia del grupo es inusual para una banda de extorsión. ShinyHunters dijo a 404 Media que el ataque «no tiene motivación financiera» y que lo que planea no lo llamaría extorsión, «quizá coerción». Pide que el FBI corrija o retire un aviso de servicio público de mayo, emitido tras el ataque contra Instructure, la empresa detrás de la plataforma educativa Canvas, en el que el buró lo describía como un grupo que exagera su acceso a datos para presionar a sus víctimas, las acosa a ellas y a sus familias y en algunos casos recurre al swatting. El grupo niega esas prácticas y le dio al FBI una semana para cambiar el texto. El miércoles, según Reuters, los atacantes dijeron que intentaban evitar que la información se difundiera más.
Brett Leatherman, subdirector de la División Cibernética del FBI, había dicho a periodistas dos semanas antes que el buró estaba «enfocado» en ShinyHunters por su papel en los ataques de robo de datos y extorsión, según The Record. Varios expertos consultados por ese medio consideran probable que el grupo termine filtrando los datos, porque no esperan que el FBI retire su aviso.
El plazo que ShinyHunters dio el 22 de septiembre se agota la próxima semana, pero la muestra de 5,000 registros ya está en manos de varios medios y, según el propio grupo, el archivo completo es mucho mayor. Para el FBI, el problema inmediato no es el aviso de mayo: es averiguar por dónde salió la información y qué tan completo es el mapa de su personal que quedó expuesto.
