7-Eleven Data Breach / ShinyHunters Extortion Campaign (Abril 2026)

Nombres Alternativos / Aliases

• 7-Eleven Data Breach (Por la víctima)
• ShinyHunters Extortion Campaign – 7-Eleven (Por el grupo atacante)
• Salesforce Environment Breach (Por el vector de ataque)

Fecha de Detección / Actividad

• Fecha de Acceso No Autorizado: 8 de abril de 2026
• Fecha de Reivindicación por ShinyHunters: 17 de abril de 2026
• Fecha de Filtración de Datos (publicación en la dark web): ~24 de abril de 2026 (menos de una semana después de la reivindicación)
• Fecha de Notificaciones a Afectados: 1 de mayo de 2026
• Fecha de Presentación ante Fiscales Generales Estatales (Maine, Massachusetts): 16 de mayo de 2026 (viernes)
• Fecha de Confirmación Pública por 7-Eleven: 19 de mayo de 2026
• Estado: Resuelto (en términos de respuesta inicial), pero con datos ya filtrados en circulación.

Actor de Amenaza (Atribución)

• Nombre del Actor: ShinyHunters (grupo de cibercrimen y extorsión)
• Vínculo Gubernamental: Ninguno. Es un grupo de ciberdelincuencia con fines de lucro, no patrocinado por un estado.
• Tipo de Actor: Grupo de ransomware/extorsión, especializado en robo de datos y publicación en sitios de filtración (leak sites) para forzar el pago de rescates.
• Sofisticación: Media-Alta. El grupo ha demostrado capacidad para comprometer entornos Salesforce (un CRM/cloud platform) y acceder a servidores internos. Ha estado activo atacando a cientos de empresas utilizando vectores similares (campañas como Salesloft Drift y Salesforce Aura).

Resumen Ejecutivo

En abril de 2026, la cadena multinacional de tiendas de conveniencia 7-Eleven sufrió una violación de datos atribuida al grupo de extorsión ShinyHunters. El atacante accedió a ciertos sistemas internos de 7-Eleven utilizados para almacenar documentos de franquiciados (según la declaración oficial de la compañía) y, según fuentes externas, comprometió su entorno de Salesforce. El 8 de abril se produjo el acceso no autorizado. El 17 de abril, ShinyHunters reivindicó el ataque en su sitio de filtración en la dark web, afirmando haber robado más de 600,000 registros que contenían datos corporativos e información de identificación personal (PII). El grupo exigió un rescate económico a cambio de no publicar los datos.

Ante la negativa de 7-Eleven a pagar, ShinyHunters filtró un archivo de 9.4 GB de documentos en su sitio de leak. La filtración afectó a más de 185,000 personas (según Have I Been Pwned - HIBP). Los datos expuestos incluyen: nombres completos, fechas de nacimiento, direcciones físicas, números de teléfono y direcciones de correo electrónico. En un número menor de registros, también se expusieron números de Seguro Social (SSN) y números de licencia de conducir (según informes de las fiscalías de Maine y Massachusetts).

7-Eleven comenzó a notificar a los afectados el 1 de mayo de 2026 y presentó informes oficiales ante las fiscalías estatales de EE. UU. el 16 de mayo. La empresa confirmó públicamente la brecha el 19 de mayo, disculpándose y afirmando que tomaron medidas inmediatas para investigar. Este incidente se suma a un historial de ataques de ShinyHunters contra cientos de organizaciones, incluyendo la Comisión Europea, Google, Cisco, Zara, Match Group y McGraw-Hill.

Vectores de Ataque / Métodos de Distribución

• Acceso Inicial: Compromiso del entorno Salesforce de 7-Eleven (según afirmación de ShinyHunters). No se especifica la técnica exacta, pero el grupo ha explotado vulnerabilidades o configuraciones erróneas en instancias de Salesforce en campañas anteriores.
• Movimiento Lateral: Desde Salesforce, los atacantes accedieron a un servidor interno que contenía documentos de franquiciados.
• Exfiltración: Robo de más de 600,000 registros (según ShinyHunters) que fueron empaquetados en un archivo comprimido de 9.4 GB.
• Extorsión: Publicación de los datos en un sitio de filtración en la dark web (leak site) después de que 7-Eleven se negara a pagar el rescate.

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica (MITRE ATT&CK)	Técnica / Subtécnica	Descripción / Implementación
Initial Access (TA0001)	Exploit Public-Facing Application (T1190)	Potencial explotación de una aplicación Salesforce expuesta a Internet.
Initial Access (TA0001)	Valid Accounts (T1078)	Uso de credenciales válidas de Salesforce (comprometidas o robadas).
Discovery (TA0007)	Account Discovery (T1087)	Enumeración de cuentas de franquiciados dentro de Salesforce y sistemas internos.
Collection (TA0009)	Data from Information Repositories (T1213)	Extracción de documentos de repositorios internos (servidor de documentos de franquiciados).
Collection (TA0009)	Archive Collected Data (T1560)	Empaquetado de los 600,000+ registros en un archivo de 9.4 GB (probablemente ZIP o RAR).
Exfiltration (TA0010)	Exfiltration Over Web Service (T1567)	Subida del archivo filtrado a un sitio de leak en la dark web.
Impact (TA0040)	Data Destruction (T1485)	No aplica (no hubo destrucción, solo robo y publicación).
Impact (TA0040)	Data Manipulation (T1565)	Publicación no autorizada de datos (doxxing/extorsión).

Flujo de Ataque (Cyber Kill Chain - ShinyHunters)

1. Reconocimiento: Identificación de 7-Eleven como objetivo con potencial de pago o con datos valiosos de franquiciados.
2. Armamento: Preparación de herramientas para explotar entornos Salesforce o usar credenciales robadas.
3. Entrega: Acceso a la instancia de Salesforce de 7-Eleven (posiblemente mediante credenciales comprometidas o vulnerabilidad).
4. Explotación: Abuso de permisos o vulnerabilidades dentro de Salesforce para escalar privilegios y acceder a sistemas internos.
5. Instalación: Establecimiento de persistencia (no detallado, pero probablemente mediante cuentas backdoor).
6. Comando y Control (C2): Comunicación con servidores externos para extraer datos.
7. Acción sobre Objetivos:
   • Exfiltración: Robo de 600,000+ registros (9.4 GB).
   • Extorsión: Publicación parcial de datos en leak site y exigencia de rescate.
   • Filtración total: Publicación de todo el archivo tras la negativa de pago.

Infraestructura Utilizada

Tipo	Indicador / Característica	Propósito
Entorno Comprometido	Salesforce Environment de 7-Eleven	Vector de acceso inicial y repositorio de datos.
Servidor Interno	Servidor de documentos de franquiciados	Almacenamiento de los documentos con PII.
Sitio de Filtración (Leak Site)	Sitio .onion en la dark web operado por ShinyHunters	Publicación de datos robados y comunicación de extorsión.
Archivo Filtrado	9.4 GB archive (conteniendo 600k+ registros)	Medio de exfiltración y publicación.

Objetivos y Sectores Afectados

• Objetivo Principal: 7-Eleven, Inc. (cadena global de tiendas de conveniencia).
• Sectores Afectados:
  • Comercio minorista (Retail) / Tiendas de conveniencia
  • Franquicias
• Distribución Geográfica: A nivel mundial, pero con foco en EE. UU. y Canadá (donde 7-Eleven opera 13,000 tiendas). Los afectados son franquiciados y potencialmente clientes.
• Tipo de Datos Exfiltrados:
  • Nombres completos
  • Fechas de nacimiento
  • Direcciones físicas
  • Números de teléfono
  • Direcciones de correo electrónico
  • Números de Seguro Social (en un subconjunto)
  • Números de licencia de conducir (en un subconjunto)

Impacto y Riesgo

• Nivel de Riesgo: Alto para los individuos afectados (riesgo de robo de identidad, phishing, fraude). Riesgo reputacional medio para 7-Eleven.
• Impacto Potencial:
  • Para los afectados (185,000+ personas): Exposición de PII sensible. Los números de SSN y licencias de conducir expuestos permiten suplantación de identidad, apertura de cuentas bancarias fraudulentas, y estafas dirigidas.
  • Para 7-Eleven: Pérdida de confianza de franquiciados y clientes. Posibles demandas colectivas. Daño reputacional moderado (la empresa actuó rápidamente, pero la filtración fue masiva).
• Capacidad de Recuperación: Los datos filtrados están permanentemente en circulación en la dark web. La recuperación para los afectados es imposible; solo pueden mitigar mediante monitoreo de crédito.
• Contexto Adicional: ShinyHunters ha atacado a cientos de empresas. El FBI recomienda no pagar rescates porque no garantiza la eliminación de los datos y fomenta más ataques. 7-Eleven siguió esta recomendación, lo que resultó en la filtración total.

Recomendaciones de Mitigación

1. Para Organizaciones (7-Eleven y similares):
   • Asegurar entornos SaaS (Salesforce): Implementar MFA obligatorio (resistente a phishing), revisar configuraciones de API, monitorear inicios de sesión anómalos y aplicar el principio de mínimo privilegio.
   • Segmentación de red: Aislar servidores internos que contengan PII de los sistemas expuestos a Internet (incluyendo integraciones con cloud).
   • DLP (Data Loss Prevention): Implementar soluciones que detecten y bloqueen exfiltraciones masivas de datos desde repositorios internos.
2. Para Individuos Afectados:
   • Monitoreo de crédito: Suscribirse a servicios gratuitos de monitoreo de crédito (ofrecidos por 7-Eleven).
   • Congelamiento de crédito: Contactar a las tres agencias principales (Equifax, Experian, TransUnion) para congelar el crédito y prevenir apertura de cuentas fraudulentas.
   • Alertas de fraude: Activar alertas de fraude en las cuentas bancarias y de tarjetas de crédito.
   • Vigilancia de correo: Estar atento a correos de phishing que utilicen los datos filtrados (nombre, dirección, etc.) para volver más creíbles las estafas.

Herramientas de Detección

• SIEM: Correlacionar logs de acceso a Salesforce y servidores internos.
• UEBA (User and Entity Behavior Analytics): Detectar descargas masivas de documentos desde repositorios de franquiciados por parte de cuentas que nunca antes lo hicieron.
• Soluciones de Seguridad para SaaS: Herramientas como AppOmni, Obsidian Security o Netskope para monitorear actividades anómalas en entornos Salesforce (ej. exportación de listas grandes, API calls inusuales).

Referencias y Fuentes

• Gatlan, S. (2026, 19 de mayo). *7-Eleven confirms data breach claimed by the ShinyHunters gang*. BleepingComputer.
• Have I Been Pwned (HIBP). (2026, mayo). *7-Eleven data breach*.
• Fiscalía General del Estado de Maine. (2026, 16 de mayo). *Notificación de violación de datos de 7-Eleven*.
• Fiscalía General de Massachusetts. (2026, 16 de mayo). *Notificación de violación de datos de 7-Eleven*.

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-05-27	1.0	Fernando Vargas Hincapie	Creación inicial de la entrada basada en el artículo de BleepingComputer y reportes de HIBP.

Indicadores de Compromiso (IOCs)

Tipo	Valor
Grupo Atacante	ShinyHunters
Fecha de Acceso	2026-04-08
Tamaño del Archivo Filtrado	9.4 GB
Número de Registros Robados (reivindicado)	600,000+
Número de Correos Únicos Afectados (HIBP)	185,000+
Entorno Comprometido	Salesforce (no se proporcionó URL específica)
Método de Extorsión	Publicación en leak site de la dark web
URL de Filtración (leak site)	No disponible públicamente (dark web .onion)

Etiquetas / Categorías

shinyhunters 7-eleven salesforce-breach data-extortion pii-leak franchisee-data dark-web-leak hibp bleepingcomputer identity-theft-risk ssn-exposed retail-cyberattack