El grupo de ciberdelincuentes conocido como ShinyHunters ha intensificado la presión contra Cisco tras fijar un ultimátum que expiraría el 3 de abril de 2026.
Los atacantes afirman poseer millones de registros robados y amenazan con publicar la información si la empresa no cumple sus exigencias.
Qué afirma el grupo ShinyHunters
Según sus propias declaraciones, el grupo asegura haber obtenido:
- Más de 3 millones de registros de CRM
- Datos de clientes y empleados
- Código fuente interno
- Acceso a almacenamiento en la nube (AWS S3)
- Información procedente de sistemas conectados a Salesforce
El material habría sido extraído mediante múltiples vectores de ataque combinados, lo que sugiere una intrusión compleja y coordinada.
Cómo se habría producido el ataque
Las investigaciones atribuyen el incidente a una combinación de técnicas:
- Phishing de voz (vishing) dirigido a empleados
- Abuso de configuraciones en entornos de Salesforce
- Accesos indebidos a servicios en la nube como AWS
- Uso de herramientas OAuth manipuladas para escalar privilegios
Este tipo de ataques no explotan necesariamente una vulnerabilidad directa del sistema, sino errores de configuración y engaño humano.
El punto de partida: una brecha previa en 2025
El caso se remonta a julio de 2025, cuando Cisco reconoció que un actor malicioso había logrado acceder a un CRM de terceros mediante ingeniería social.
En ese momento, la empresa indicó que:
- Los datos eran principalmente información básica de perfil
- No se comprometieron contraseñas ni sistemas críticos
- El impacto parecía limitado
Sin embargo, las afirmaciones actuales de ShinyHunters contradicen esa versión inicial, asegurando que el alcance real fue mucho mayor.
Una campaña más amplia contra grandes empresas
Expertos en ciberseguridad señalan que esta operación no sería un caso aislado.
El grupo habría atacado múltiples organizaciones mediante:
- Suplantación del soporte técnico
- Herramientas de automatización de ataques
- Explotación de configuraciones débiles en entornos cloud
- Uso de credenciales OAuth comprometidas
Autoridades como el FBI y CISA han advertido previamente sobre estas técnicas, especialmente en campañas dirigidas a plataformas SaaS empresariales.
Riesgos tras la posible filtración
Si los datos fueran publicados, los expertos advierten varios riesgos:
- Campañas de phishing más sofisticadas
- Fraude dirigido a clientes y empleados
- Ataques de ingeniería social basados en datos reales
- Posibles nuevas intrusiones en empresas relacionadas
Incluso si la información no incluye credenciales, los registros de CRM pueden ser altamente valiosos para ataques posteriores.
Situación actual
Hasta el momento, Cisco no ha emitido una respuesta pública detallada sobre las últimas amenazas.
La incertidumbre se mantiene mientras el plazo anunciado por los atacantes ya habría vencido, aumentando la expectativa sobre una posible filtración.