El grupo cibercriminal ShinyHunters ha reivindicado la responsabilidad de una brecha de datos relacionada con la plataforma de vídeo Vimeo, emitiendo un ultimátum de “pagar o filtrarse” tras alegar que obtuvo acceso a los datos de la empresa mediante un compromiso de terceros.
Según la publicación del grupo en su sitio de filtraciones, los atacantes afirmaron que accedieron a los entornos Snowflake de Vimeo y Google BigQuery, aprovechando supuestamente una brecha previa del proveedor israelí de análisis Anodot. El mensaje incluía una advertencia directa a la empresa, indicando que los datos robados podrían hacerse públicos si no se cumplen las demandas de rescate.
La afirmación forma parte de un patrón más amplio de ataques vinculados a ShinyHunters, que se ha centrado cada vez más en explotar sistemas basados en la nube e integraciones de terceros para acceder a grandes conjuntos de datos. El grupo es conocido por utilizar la exfiltración de datos como táctica principal, confiando en la extorsión en lugar de la interrupción del sistema.
Vimeo ha reconocido un incidente de seguridad vinculado a un proveedor externo y ha confirmado que se ha producido acceso no autorizado a ciertos datos de usuarios y clientes. La empresa declaró que ha tomado medidas para proteger sus sistemas, incluyendo desactivar las integraciones afectadas y contratar expertos externos en ciberseguridad para apoyar la investigación.
Los hallazgos iniciales indican que los datos comprometidos incluyen principalmente información técnica como metadatos de vídeo y títulos, junto con algunas direcciones de correo electrónico de usuarios. Vimeo enfatizó que no se expusieron contenidos de vídeo, credenciales de acceso ni datos de tarjetas de pago en el incidente. La empresa también informó de que no hubo interrupciones en sus servicios.
El ataque parece estar vinculado a una campaña más amplia dirigida a organizaciones que dependen de plataformas de datos en la nube. Investigadores de seguridad han señalado anteriormente que las brechas que involucran integraciones SaaS pueden generar riesgos en cascada, donde los atacantes reutilizan tokens o credenciales de autenticación robadas para acceder a múltiples sistemas posteriores.
ShinyHunters ha estado asociado con una serie de incidentes de alto perfil en los últimos meses, dirigidos a organizaciones de sectores como la educación, las finanzas y la tecnología. Las operaciones del grupo suelen implicar imponer plazos cortos para presionar a las víctimas a negociar, seguidos de filtraciones públicas si no se cumplen las demandas.
En el momento de la información, el alcance total del incidente de Vimeo sigue bajo investigación. No está claro si las negociaciones continúan o si se han publicado datos. El caso pone de manifiesto los riesgos continuos vinculados a las dependencias de terceros, especialmente en entornos donde los servicios en la nube y las integraciones externas están profundamente integrados en las operaciones principales.