O grupo ShinyHunters afirma ter invadido um provedor de dados da Microsoft e da Meta.

O notório grupo de ransomware ShinyHunters adicionou a CyrusOne, uma importante operadora de data centers dos EUA, à sua lista de vítimas, alegando ter roubado um grande volume de dados altamente sensíveis. Se essas alegações forem verdadeiras, poderá ser um verdadeiro desastre para a empresa e seus clientes.

No geral, a ShinyHunters afirma ter extraído 12.9 milhões de registros do Salesforce, mais de 182,000 linhas de objetos de contato do Salesforce, mais de 600 gigabytes de dados do SharePoint e mais de 8,300 registros de funcionários contendo informações de identificação pessoal (PII), bem como contratos assinados, contratos de prestação de serviços, acordos de confidencialidade (NDAs), contratos de serviço, plantas baixas de data centers, diagramas elétricos, registros de controle de acesso, auditorias de crachás, inventários de chaves físicas, políticas de segurança, documentos de gerenciamento de confiabilidade do bioambiente e inúmeras senhas e credenciais.

Nenhuma amostra foi publicada ainda, mas os pesquisadores não consideram isso suspeito, e sim uma tática de pressão.

O que torna este ataque diferente?

Em troca da exclusão de todos os dados roubados, a ShinyHunters está exigindo US$ 13 milhões da CyrusOne, que não se pronunciou sobre as alegações e não parece interessada em negociações.

Os atacantes alegaram ter escrito: “Eles estão se recusando a pagar um pedido de US$ 13 milhões. Eles têm 24 horas para entrar em contato conosco. Possuímos 12.9 milhões de registros da Salesforce.”

Grupos de ransomware roubam dados corporativos confidenciais o tempo todo, mas este incidente pode estar entre as violações de dados mais graves da história. Alguns dos segredos roubados não podem ser facilmente alterados: plantas baixas de data centers, diagramas elétricos, registros de controle de acesso, auditorias de crachás e inventários de chaves físicas. Esse tipo de informação pode ser usado para ataques físicos.

Se os criminosos souberem como distribuir chaves, como organizar um centro de dados, a localização das câmeras de vigilância e como os guardas operam, isso facilita a invasão física do local.

“Não se pode consertar um prédio”, alertaram os pesquisadores, observando que algumas coisas que podem ser alteradas, como interruptores físicos e áreas de acesso, ainda levam meses e “dinheiro de verdade”, o que demonstra a dimensão do problema.

A CyrusOne opera aproximadamente 50 instalações nos Estados Unidos, atendendo centenas de empresas e organizações. Seus clientes incluem empresas da lista Fortune 1000, bem como gigantes da tecnologia como Microsoft, Meta, Verizon, AT&T, IBM e CME Group.

Para complicar ainda mais a situação, o grupo ShinyHunters roubou informações sobre clientes da CyrusOne, como a Meta e a Microsoft. Informações sobre a localização específica dos clientes, os serviços que eles contratam, acordos de confidencialidade (NDAs), acordos de nível de serviço (SLAs) e informações de contato podem ser usadas para lançar ataques de phishing sofisticados e personalizados, transformando potencialmente este incidente em um ataque sem precedentes à cadeia de suprimentos de terceiros.

Os pesquisadores acrescentaram: “Contratos, Acordos de Prestação de Serviços (MSAs, na sigla em inglês) e Acordos de Confidencialidade (NDAs, na sigla em inglês) definem os inquilinos como uma lista de clientes aplicada à planta do edifício, com detalhes de preços e Acordos de Nível de Serviço (SLAs, na sigla em inglês) anexados.”

Nenhuma reação

Para piorar a situação, parece que os ShinyHunters também roubaram informações sobre as operações da empresa relacionadas à energia, refrigeração e confiabilidade do ambiente biológico, que eles poderiam explorar para atacar fisicamente os servidores, causando interrupções, quedas de energia e possivelmente incêndios.

O grupo adicionou CyrusOne ao seu site pela primeira vez em 20 de agosto de 2026, embora o nome da vítima tenha sido omitido na ocasião, segundo os pesquisadores. Em vez disso, a ShinyHunters publicou um aviso, afirmando: “Aviso final – pague ou vazaremos informações”. A empresa tinha até 24 de agosto para entrar em contato com eles, o que aparentemente não aconteceu.

Três dias depois, em 23 de agosto, a ShinyHunters anunciou publicamente que CyrusOne era sua vítima e exigiu US$ 13 milhões pelos arquivos. O prazo já expirou e nada mudou — a vítima não se pronunciou e a ShinyHunters não liberou os arquivos.