ShinyHunters afirma haber hackeado a un proveedor de datos de Microsoft y Meta.

El tristemente célebre grupo de ransomware ShinyHunters ha añadido a CyrusOne, un importante operador de centros de datos estadounidense, a su lista de víctimas, alegando haber robado una gran cantidad de datos altamente confidenciales. Si estas afirmaciones son ciertas, podría ser un verdadero desastre para la empresa y sus clientes.

En total, ShinyHunters afirma haber extraído 12.9 millones de registros de Salesforce, más de 182,000 filas de objetos de contacto de Salesforce, más de 600 gigabytes de datos de SharePoint y más de 8,300 registros de empleados que contienen información de identificación personal (PII), así como contratos firmados, acuerdos marco de servicios, acuerdos de confidencialidad (NDA), acuerdos de servicio, planos de centros de datos, diagramas eléctricos, registros de control de acceso, auditorías de credenciales, inventarios de llaves físicas, políticas de seguridad, documentos de gestión de la fiabilidad del entorno biológico y numerosas contraseñas y credenciales.

Aún no se han publicado muestras, pero los investigadores no lo ven como algo sospechoso, sino más bien como una táctica de presión.

¿Qué hace que este ataque sea diferente?

A cambio de eliminar todos los datos robados, ShinyHunters exige 13 millones de dólares a CyrusOne, que por el momento no se pronuncia sobre estas afirmaciones y no parece interesada en negociar.

Los atacantes afirmaron haber escrito: “Se niegan a pagar un pedido de 13 millones de dólares. Tienen 24 horas para contactarnos. Contamos con 12.9 millones de registros de Salesforce”.

Los grupos de ransomware roban datos corporativos confidenciales constantemente, pero este incidente podría ser uno de los robos de datos más graves de la historia. Algunos de los secretos robados no se pueden alterar fácilmente: planos de centros de datos, diagramas eléctricos, registros de control de acceso, auditorías de credenciales e inventarios de llaves físicas. Este tipo de información puede utilizarse para realizar ataques físicos.

Si los delincuentes saben cómo distribuir las llaves, cómo organizar un centro de datos, la ubicación de las cámaras de vigilancia y cómo operan los guardias, les resulta más fácil acceder físicamente al sistema.

“No se puede arreglar un edificio”, advirtieron los investigadores, señalando que algunas cosas que sí se pueden cambiar, como los interruptores físicos y las zonas de acceso, todavía requieren meses y “mucho dinero”, lo que da una idea de la magnitud del problema.

CyrusOne opera aproximadamente 50 centros en todo Estados Unidos, prestando servicios a cientos de empresas y organizaciones. Entre sus clientes se encuentran compañías incluidas en la lista Fortune 1000, así como gigantes tecnológicos como Microsoft, Meta, Verizon, AT&T, IBM y CME Group.

Para complicar aún más las cosas, el grupo ShinyHunters robó información sobre clientes de CyrusOne, como Meta o Microsoft. La información sobre la ubicación de los clientes, los servicios que contratan, los acuerdos de confidencialidad (NDA), los acuerdos de nivel de servicio (SLA) y la información de contacto podría utilizarse para lanzar ataques de phishing sofisticados y personalizados, lo que podría convertir este incidente en un ataque sin precedentes a la cadena de suministro de terceros.

Los investigadores añadieron: «Los contratos, los acuerdos marco de servicios (MSA) y los acuerdos de confidencialidad (NDA) definen a los inquilinos como una lista de clientes aplicada al plano del edificio, con detalles de precios y acuerdos de nivel de servicio (SLA) adjuntos».

Ninguna reacción

Para colmo, parece que ShinyHunters también robó información sobre las operaciones de la empresa relacionada con la energía, la refrigeración y la fiabilidad del entorno biológico, que podrían aprovechar para atacar físicamente los servidores, provocando interrupciones, cortes de energía y posiblemente incendios.

El grupo añadió CyrusOne a su sitio web por primera vez el 20 de agosto de 2026, aunque en ese momento no se reveló el nombre de la víctima, según los investigadores. En su lugar, ShinyHunters publicó una advertencia que decía: «Último aviso: paguen o filtraremos la información». La empresa tenía hasta el 24 de agosto para contactarlos, lo cual, al parecer, no ocurrió.

Tres días después, el 23 de agosto, ShinyHunters anunció públicamente que CyrusOne era su víctima y exigió 13 millones de dólares por los archivos. El plazo ya ha vencido y nada ha cambiado : la víctima no se ha pronunciado y ShinyHunters no ha publicado los archivos.