ShinyHunters amenaza a CyrusOne

El grupo de hackers ShinyHunters ha afirmado haber atacado a CyrusOne, un importante operador estadounidense de centros de datos: empresas que alojan y mantienen la infraestructura de servidores de otras organizaciones. Entre los clientes de CyrusOne figuran cientos de compañías, como Microsoft, Meta, Verizon, AT&T, IBM y CME Group.

Según los delincuentes, han extraído de los sistemas de CyrusOne un enorme volumen de información: 12,9 millones de registros de Salesforce, más de 182.000 filas del objeto Salesforce Contacts y más de 600 GB de datos de SharePoint. También aseguran haber robado información de más de 8.300 empleados, incluidos datos personales, contratos, acuerdos marco de prestación de servicios, acuerdos de confidencialidad y contratos de servicio.

Lo más preocupante parece ser la información relacionada con la infraestructura física, y no con la correspondencia de oficina. Entre lo que dicen haber obtenido hay planos de los centros de datos, esquemas eléctricos, registros de control de acceso y revisiones de pases, inventarios de llaves físicas, políticas de seguridad y documentos sobre la fiabilidad de sistemas de ingeniería críticos, además de diversas contraseñas y credenciales de acceso.

ShinyHunters aún no ha publicado muestras de los archivos. Los investigadores no consideran que esa ausencia demuestre por sí sola que la afirmación sea falsa: no publicar los datos puede formar parte de la táctica de presión. El grupo exige a CyrusOne 13 millones de dólares a cambio de borrar la información robada. La empresa aún no ha comentado la denuncia y, por lo visto, no muestra interés en negociar.

«Se niegan a pagar 13 millones de dólares. Les quedan 24 horas para ponerse en contacto con nosotros. Tenemos 12,9 millones de registros de Salesforce», habrían escrito los atacantes.

Los investigadores advierten de que el incidente podría convertirse en una de las filtraciones más devastadoras si se confirma el volumen declarado. Las contraseñas se pueden cambiar, pero a un edificio no se le puede instalar un parche. Conocer la ubicación de las cámaras, la distribución de las instalaciones, el procedimiento para entregar llaves y el funcionamiento de la seguridad puede facilitar una intrusión física. Incluso sustituir elementos reemplazables, como las llaves y las zonas de acceso, podría llevar meses y costar mucho dinero.

El riesgo también afecta a los clientes de CyrusOne. Los datos sobre la ubicación de las instalaciones, los servicios contratados, las personas de contacto, los acuerdos de confidencialidad y las condiciones del servicio podrían utilizarse para preparar ataques de phishing muy selectivos. Los contratos y sus anexos vinculan, en la práctica, la lista de clientes con un mapa de edificios, precios y condiciones, lo que crea las condiciones para un ataque a gran escala a través de la cadena de suministro: los atacantes aprovechan la brecha de un proveedor para atacar a sus clientes.

La información sobre los sistemas de alimentación eléctrica, refrigeración y fiabilidad del entorno crítico supone una amenaza adicional. Si se confirma la filtración, estos datos podrían ayudar a preparar ataques físicos contra los servidores y provocar interrupciones, paradas de equipos y, potencialmente, incendios.

El 20 de agosto de 2026, ShinyHunters incluyó por primera vez a CyrusOne en su sitio web, aunque ocultó entonces el nombre de la víctima. El grupo publicó el aviso «Último aviso: pagad o filtraremos los datos» y dio a la empresa de plazo hasta el 24 de agosto. El 23 de agosto, tres días después, hizo público el nombre de CyrusOne y fijó el rescate en 13 millones de dólares. Llegada la fecha límite, la situación no había cambiado: la empresa no había hecho declaraciones y ShinyHunters no había publicado archivos. Por ahora, el robo denunciado no se ha confirmado oficialmente.