ShinyHunters en 2026: 49 empresas, 145 millones de cuentas y una llamada

Desde febrero de 2026, Have I Been Pwned (HIBP), la base de filtraciones detrás de nuestro verificador ¿Me filtraron?, cargó 49 conjuntos de datos publicados por el grupo de extorsión ShinyHunters, con 144,724,627 cuentas en total. El patrón se repite: el grupo se lleva datos, nombra a la empresa con un ultimátum de «paga o publicamos» y publica los archivos si la empresa no paga. Contamos varios en detalle: Sysco, McKesson, CyrusOne y Neogen. Los dos más recientes antes de esos fueron Questel, la empresa francesa de software de propiedad intelectual (1.2 millones de direcciones de prospectos, casos de soporte y marketing), y Medela, el fabricante suizo de extractores de leche y equipo médico (424,000 direcciones, sobre todo de profesionales de la salud, empleados y prospectos).

Cómo entran: una llamada

Google Threat Intelligence describió el método en 2025: quienes llaman se hacen pasar por el soporte de TI de la empresa, convencen a un empleado de aprobar una «aplicación conectada» en el Salesforce de la empresa y con ese acceso exportan los datos. Meses después, un grupo que usa el nombre ShinyHunters hace la extorsión. En 10 de las 49 fichas de HIBP la descripción menciona a Salesforce, y HIBP anota en el caso de Kemper que el acceso fue por ingeniería social. Sin fallas técnicas ni programas maliciosos: solo una llamada convincente y una aprobación. Escribimos sobre por qué los atacantes ahora llaman en vez de escribir.

Qué se publica

Los 49 conjuntos traen correos. 47 traen nombres, 44 teléfonos y 43 direcciones. 20 incluyen cargos, 16 empleadores y 10 tickets de soporte, que es como se ven los datos de un CRM y de una mesa de ayuda. Algunos van más allá: 13 traen fechas de nacimiento y 4 números de identificación oficial, y los de Exact Sciences, McKesson y DentaQuest incluyen información de salud.

¿Toca a tu empresa?

De dos formas. Primero, si tú o tu equipo son clientes, proveedores o prospectos de alguna empresa de la lista de abajo, sus datos de contacto laborales probablemente están en uno de estos archivos. Eso los vuelve mejor blanco de phishing: un mensaje que sabe tu nombre, tu empresa y tu cargo es fácil de creer.

Segundo, el método funciona en cualquier empresa con un CRM o con Microsoft 365, no solo en las grandes marcas. Si a un empleado lo pueden convencer de aprobar una aplicación o de leer un código en voz alta, tu lista de clientes también está al alcance.

Qué hacer esta semana

• Revisa tus direcciones. Pasa los correos de trabajo por ¿Me filtraron?, que usa los mismos datos de HIBP, y activa los avisos.
• Pon una regla para los pedidos por teléfono. El soporte de TI de verdad nunca te pide por teléfono aprobar una aplicación, aceptar un aviso de inicio de sesión ni leer un código. Cuelga y llama tú a un número que ya tengas.
• Cierra las aplicaciones conectadas. En Salesforce, HubSpot o Microsoft 365, exige que un administrador apruebe las aplicaciones de terceros nuevas y revisa las que ya están conectadas.
• Limita quién puede exportar todo. Pocas personas necesitan descargar la lista completa de clientes. Quita la exportación masiva a las cuentas que no la usan.

Las 49 empresas, de la más reciente a la más antigua

Cada nombre lleva a la ficha de su filtración con la lista completa de datos expuestos.

Datos de Have I Been Pwned al 12 de octubre de 2026 | Fuentes: Google Threat Intelligence sobre UNC6040 | Redactado con ayuda de IA y verificado contra estas fuentes el 12 de octubre de 2026

Relacionados

• ¿Me filtraron? Comprueba una dirección y recibe avisos
• Directorio de filtraciones