ShinyHunters roba 297 GB de los sistemas de RRHH del Consejo de Europa
El Consejo de Europa, la principal institución del continente en derechos humanos, democracia y Estado de derecho, se ha convertido en la última víctima de alto perfil del grupo de ransomware ShinyHunters. La brecha expuso 297 GB de datos confidenciales de RRHH y nóminas, incluyendo más de 409 000 nóminas y más de 14 000 currículums de empleados, afectando al personal de la Secretaría y la Dirección de Recursos Humanos. La filtración del Consejo de Europa por parte de ShinyHunters no es solo un incidente de ciberseguridad; es un recordatorio directo de que incluso los organismos encargados de proteger los derechos de los ciudadanos pueden fallar en la protección de los registros personales de su propio personal.
¿Qué fue robado? Dentro de la brecha de 297 GB de RRHH y nóminas
Según lo declarado por ShinyHunters, el botín de esta brecha es sustancial. Se vieron comprometidos más de 429 000 archivos, con datos que abarcan nóminas, CV, contratos de trabajo y registros internos de RRHH. Solo las nóminas representan más de 409 000 documentos, lo que indica que esta brecha probablemente cubre una parte significativa de la plantilla actual y antigua del Consejo.
La sensibilidad de estos datos no puede exagerarse. Las nóminas suelen contener nombres legales completos, domicilios, números de identificación nacional, datos de cuentas bancarias, información salarial y registros fiscales. Los CV añaden otra capa de exposición, incluyendo historiales educativos, referencias personales y detalles de empleos anteriores. En conjunto, esta información proporciona a los ciberdelincuentes todo lo necesario para llevar a cabo campañas de phishing dirigidas, cometer fraudes de identidad o vender perfiles individuales en mercados de la dark web.
Este tipo de ataque centrado en RRHH es cada vez más común. La brecha del sistema de RRHH de Statistics South Africa siguió un patrón sorprendentemente similar, con los atacantes apuntando a la infraestructura interna de recursos humanos para extraer registros de empleados, en lugar de ir tras sistemas de cara al cliente.
Por qué el Consejo de Europa es un objetivo de alto valor para los grupos de ransomware
A primera vista, una organización intergubernamental centrada en los derechos humanos podría parecer un objetivo inusual para un ransomware. En la práctica, es excepcionalmente atractivo. El Consejo de Europa emplea a miles de personas en su sede de Estrasburgo y en múltiples oficinas sobre el terreno, lo que significa que sus bases de datos de RRHH están repletas de registros personales. El prestigio institucional también aumenta la presión que pueden ejercer los grupos de ransomware: el coste reputacional de una brecha es mayor para un organismo cuyo mandato incluye los derechos de los ciudadanos y la protección de datos.
ShinyHunters tiene un patrón bien documentado de apuntar a organizaciones grandes y visibles para maximizar la presión para el pago del rescate. A principios de este año, el grupo lanzó un ultimátum público al proveedor de telecomunicaciones neerlandés Odido. Como se detalla en la cobertura de la brecha de Odido que afectó a 8 millones de clientes, ShinyHunters amenazó con publicar los datos robados de los clientes a menos que se pagara un rescate, demostrando su disposición a utilizar la divulgación pública como herramienta de presión. Ese mismo manual parece estar en uso aquí.
La brecha del Consejo de Europa también sigue al ataque que ShinyHunters reivindicó anteriormente contra la infraestructura en la nube de la Comisión Europea, que presuntamente involucró más de 350 GB de datos de la plataforma Europa.eu. En conjunto, estos incidentes sugieren que el grupo ha convertido a las instituciones europeas en un foco deliberado de sus operaciones en 2025 y 2026.
La ironía de que los guardianes de la privacidad no protejan los datos personales
El Consejo de Europa es el organismo responsable del Convenio Europeo de Derechos Humanos y supervisa los marcos que los Estados miembros utilizan para regular la protección de datos y la privacidad digital. Es, en otras palabras, una institución que establece el estándar sobre cómo deben tratarse y protegerse los datos personales. La ironía de que esa institución sufra una brecha de esta magnitud es difícil de ignorar.
No se trata de una tensión aislada. Las grandes instituciones suelen tener infraestructuras informáticas complejas y heredadas, relaciones extensas con proveedores y datos de la plantilla repartidos en docenas de sistemas interconectados. Estas realidades estructurales crean superficies de ataque realmente difíciles de gestionar, independientemente de lo firmes que sean los compromisos declarados con la privacidad. La brecha ilustra que las buenas intenciones políticas no se traducen automáticamente en una buena seguridad operativa.
Para los empleados afectados, las consecuencias son inmediatas y personales. Cualquiera cuyo recibo de nómina o CV estuviera entre los más de 429 000 archivos se enfrenta ahora a la posible exposición de sus datos financieros y documentos de identidad. Las ventas en la dark web de datos institucionales de RRHH, como las observadas en el listado de datos de clientes de Iliad Italia, tienden a seguir rápidamente a las brechas, proporcionando a los delincuentes un mercado dispuesto para los registros robados.
Cómo pueden protegerse las personas cuando las instituciones fallan
Cuando un empleador o institución sufre una brecha, los afectados tienen un control limitado sobre lo que fue sustraído. Pero hay medidas concretas que puede tomar para limitar una mayor exposición.
Vigile de cerca sus cuentas financieras. Los datos bancarios expuestos en las nóminas pueden utilizarse para fraudes directos. Configure alertas para transacciones inusuales y considere si una congelación temporal de las consultas crediticias es adecuada en su jurisdicción.
Esté alerta ante intentos de spear-phishing. Los atacantes que tienen su CV y nómina conocen su empleador, su horquilla salarial y su cargo. Pueden elaborar correos de suplantación muy convincentes utilizando ese contexto. Trate los mensajes inesperados que soliciten acciones o credenciales con un escepticismo adicional, incluso si parecen provenir de colegas o del departamento de RRHH.
Utilice una VPN en redes públicas y compartidas. Aunque una VPN no previene una brecha del lado del servidor, sí protege su tráfico de interceptaciones cuando accede a portales del empleador o cuentas sensibles de forma remota, reduciendo un vector de robo de credenciales.
Compruebe si sus datos aparecen en bases de datos de brechas. Los servicios que monitorizan conjuntos de datos de brechas conocidas pueden alertarle si su correo electrónico u otros identificadores surgen en conjuntos de datos recién publicados.
Solicite claridad a su empleador. Si usted es empleado o contratista del Consejo de Europa, presione para obtener una comunicación específica sobre qué registros se vieron afectados y qué medidas correctivas se están ofreciendo.
Las brechas institucionales como esta son un recordatorio de que la higiene de los datos personales es más importante precisamente cuando las organizaciones que poseen sus registros no logran protegerlos. Revisar su exposición, proteger sus cuentas y mantenerse alerta ante la ingeniería social no son extras opcionales; son la respuesta básica cuando datos que usted no entregó a delincuentes terminan de todos modos en sus manos.
Los ataques cada vez más intensos de ShinyHunters contra instituciones europeas sugieren que este grupo no se está frenando. Mantenerse informado y tomar medidas proactivas con su propia seguridad digital es la respuesta más eficaz disponible para las personas atrapadas en el fuego cruzado.
