Tres de los grupos de ciberdelincuentes más notorios de los últimos años, LAPSUS$, ShinyHunters y Scattered Spider, han mostrado señales de coordinación en campañas globales de extorsión y robo de información.
La unión de sus tácticas y recursos ha derivado en una amenaza de gran alcance, que ha puesto en jaque a empresas de sectores estratégicos como telecomunicaciones, transporte aéreo, automoción o plataformas de servicios en la nube. Así lo señala Resecurity, bautizando esta colaboración entre cibermalos como ‘la Trinidad del Caos’ (Trinity of Chaos).
Cada una de estas bandas tiene una historia y unas especialidades propias. LAPSUS$ se hizo famoso por sus filtraciones masivas y por utilizar la ingeniería social como vía de entrada en las organizaciones. Su habilidad para explotar debilidades humanas, saltarse sistemas de autenticación multifactor o abusar de fallos en la validación de accesos les dio notoriedad.
ShinyHunters, por su parte, se centró durante años en el robo y compraventa de bases de datos, actuando como mayorista en el mercado negro de información. Con el tiempo fueron virando hacia tácticas más agresivas de extorsión y exposición pública de víctimas.
Scattered Spider ha destacado por su destreza en la suplantación de personal de soporte y en el uso de técnicas de vishing y phishing dirigidas a obtener accesos iniciales, con un enfoque especialmente humano más que técnico.
Según Resecurity, en agosto de 2025 apareció un canal de Telegram en el que se exhibían abiertamente conexiones entre miembros de los tres colectivos. Allí se promocionaban filtraciones, se lanzaban amenazas coordinadas y se presentó un nuevo servicio de ransomware-as-a-service bautizado como “shinysp1d3r”.
Este espacio digital funcionó como escaparate y como lugar de coordinación entre individuos que antes operaban de manera más o menos autónoma. La convergencia quedó también patente en la forma en que se repartían tareas: Scattered Spider obtenía accesos iniciales a redes corporativas, ShinyHunters se encargaba de extraer y comercializar la información robada y LAPSUS$ participaba en la presión pública y en la difusión de los datos.
Los sectores afectados muestran la amplitud de su radio de acción. Entre sus víctimas se han identificado aerolíneas como Qantas, Hawaiian Airlines o WestJet, además de compañías de retail como Adidas, LVMH o Victoria’s Secret. También han atacado a empresas de telecomunicaciones como AT&T, T-Mobile y Bouygues Telecom, y han apuntado a plataformas SaaS de gran alcance, entre ellas Salesforce y Snowflake.
El caso de Jaguar Land Rover ilustra el impacto real de estas operaciones: un ataque atribuido a esta tríada provocó interrupciones globales en la producción y expuso información crítica como código fuente y registros de empleados.
Las técnicas empleadas no se basan en sofisticados exploits de día cero, sino en la explotación sistemática de la confianza y de los puntos débiles de la gestión de accesos. La manipulación de empleados, el bombardeo de notificaciones de autenticación multifactor hasta forzar su aceptación, el intercambio de tarjetas SIM para secuestrar números de teléfono y la suplantación de personal de soporte son algunas de las herramientas habituales. Una vez dentro, la exfiltración masiva de datos y la extorsión mediática completan el esquema.
La unión hace la fuerza
La unión de tres grupos que ya dominaban estas tácticas por separado amplifica la amenaza, al combinar experiencia, reputación y recursos técnicos y humanos.
“Las agencias policiales y de ciberseguridad han comenzado a mencionar a LAPSUS$ , ShinyHunters y Scattered Spider juntos en informes y avisos, lo que refleja la creciente percepción de superposición y posibles operaciones conjuntas entre estos grupos. Su capacidad para adaptarse rápidamente y escalar sus ataques los ha convertido en una preocupación principal tanto para los equipos de seguridad del sector privado como para las fuerzas del orden”, señalan desde Resecurity.
“Los límites entre LAPSUS $, Scattered Spider y ShinyHunters se han vuelto cada vez más difusos, con evidencia tanto de superposición operativa como de convergencia táctica. Estos grupos ahora representan un ecosistema de cibercrimen poco conectado y altamente adaptable, que representa una amenaza persistente avanzada (APT) para grandes empresas en todo el mundo”, añaden.
Hace unas semanas, Scattered Spider y sus aliados han anunciado un supuesto cese de operaciones, alegando presión policial. Sin embargo, los analistas de Resecurity advierten de que este tipo de declaraciones suelen responder a movimientos estratégicos más que a abandonos reales. Existen indicios de que algunos de sus miembros siguen operativos bajo otros alias y de que continúan realizando extorsiones en privado. Lejos de ser una retirada definitiva, el comunicado podría formar parte de una maniobra para reducir la visibilidad y reorganizar sus actividades.
La aparición de esta ‘tríada del caos’ refleja la evolución natural del cibercrimen. En lugar de competir, los grupos más visibles buscan alianzas para maximizar beneficios, aprovechar accesos compartidos y reforzar su poder de intimidación frente a las víctimas. Para las empresas, esta tendencia supone un desafío adicional en la atribución de ataques y en la respuesta coordinada. Identificar quién está detrás de un incidente se complica cuando los atacantes actúan de manera híbrida, intercambiando técnicas y canales de comunicación.
La alianza entre LAPSUS$, ShinyHunters y Scattered Spider simboliza el grado de madurez al que ha llegado el cibercrimen organizado en 2025. Ya no se trata de grupos aislados compitiendo por notoriedad, sino de redes que entienden que la cooperación multiplica su capacidad de daño. La lección para gobiernos, empresas y ciudadanos es clara: los atacantes se adaptan y se fortalecen, por lo que la defensa debe ser igualmente dinámica, coordinada y persistente.
Deja un comentario