Подозреваемый федералами переговорщик по выкупу запустил сайт вымогательства ShinyHunters
Как стало известно KrebsOnSecurity, федеральные следователи США, преследующие хакерскую группу ShinyHunters, которая недавно похитила весьма конфиденциальные данные ФБР, выявили руководителей двух разных фирм, занимающихся переговорами по программам-вымогателям, которые поддерживали необычайно тесные отношения с группой вымогателей. Источники, близкие к расследованию, говорят, что один из руководителей в США даже помогал ShinyHunters управлять веб-сайтом, который вынуждал жертв платить выкуп. Хакеры, связанные с ShinyHunters, взяли на себя ответственность за десятки крупных утечек данных с 2019 года, когда группировкой в основном управляли киберпреступники, живущие во Франции. Поскольку первоначальные участники были арестованы или заключены в тюрьму один за другим, контроль над брендом ShinyHunters в конечном итоге перешел к «Рею», которого в прошлом году опознали как подростка-хакера из Аммана, Иордания. По данным ФБР, в этом году ShinyHunters вымогали у жертв более 70 миллионов долларов. В конце сентября ShinyHunters взломали веб-сайт ФБР по подбору персонала fbijobs.gov и насмехались над агентством, угрожая опубликовать украденные файлы, которые, как сообщается, включали медицинские и психологические записи, номера социального страхования и домашние адреса, а также информацию о подразделении и специализации каждого сотрудника. Взлом сайта вакансий ФБР побудил агентство действовать с необычайной скоростью, чтобы арестовывать, задерживать и допрашивать людей, которые имели какое-либо общение с Рей или другими подозреваемыми в ShinyHunters. 3 октября агентство Reuters сообщило, что Рей был задержан иорданскими властями и сотрудничал с ФБР. Рей смог взять на себя контроль над хакерской группой, поскольку только что был схвачен один из ее предполагаемых старших членов. Вечером 15 сентября 2026 года власти Нидерландов арестовали осужденного хакера и подозреваемого в деятельности ShinyHunters Пепина ван дер Стапа. Сообщается, что голландская полиция использовала светошумовые гранаты, чтобы оглушить и задержать Ван дер Стапа, когда он входил в различные онлайн-аккаунты. По словам источника, близкого к расследованию, власти арестовали Ван дер Стапа, когда он использовал свою учетную запись для обмена мгновенными сообщениями Signal, которая позволяла им читать недавние сообщения с частыми контактами, в том числе с переговорщиками по вымогателям, базирующимися в Канаде и США. Несколько источников, знакомых с этим вопросом, сообщили KrebsOnSecurity, что сообщения Ван дер Стапа стали ключом к раскрытию заговора с целью убийства по найму, который возник сразу после его ареста. Голландское новостное издание RTL сообщило в прошлом месяце, что два убийства предположительно были совершены за границей, и что есть признаки того, что Ван дер Стап отдал приказ о нападениях (нет никаких указаний на то, что эти приказы когда-либо были выполнены). 9 октября KrebsOnSecurity сообщил, что ФБР арестовало 54-летнего канадского руководителя службы кибербезопасности по имени Эдвард Дубровский в связи с расследованием дела ShinyHunters. Согласно протоколам суда, Дубровский, недавно опубликовавший книгу о борьбе с кибер-вымогательством, в которой рекомендовал всегда взаимодействовать с хакерами, был обвинен в угрозах раскрыть украденные или взломанные данные и вмешательстве в торговлю между штатами путем вымогательства. Как сообщает Politico, прокуратура потребовала, чтобы Дубровский оставался под стражей до суда, а документы, связанные с его делом, оставались засекреченными. Источник, близкий к расследованию, сообщил KrebsOnSecurity, что сообщения Ван дер Стапа в Signal показывают, что он часто беседовал с г-ном Дубровским и как минимум с одним руководителем крупной американской консалтинговой фирмы, и что эти руководители часто знали подробности о новых жертвах ShinyHunters еще до того, как сами жертвы узнали о взломе. Этот источник поделился еще одним потенциально взрывоопасным выводом федеральных следователей: чаты голландского хакера показали, что г-н Дубровский знал, что ShinyHunters украли очень конфиденциальные данные с серверов ФБР, и что он никогда не сообщал бюро об утечке данных до того, как ShinyHunters пригрозили в Twitter/X опубликовать глубоко личные личные файлы агентства. БЛЕСТЯЩАЯ ПРОВОДА KrebsOnSecurity узнала из двух источников, близких к расследованию ShinyHunters, что следователи ФБР полагают, что по крайней мере один руководитель американской консалтинговой фирмы играл активную роль в управлении ныне несуществующим сайтом-вымогателем жертв ShinyHunters «shinywire[.]com». KrebsOnSecurity не называет США. компанию или подозреваемого руководителя(ов) на данный момент, поскольку им еще не предъявлено обвинение в совершении преступления, но это престижная фирма с более чем 1000 сотрудников. Раздел домашней страницы ныне несуществующего веб-сайта Shinywire. Веб-сайт Shinywire был активен примерно с 3 мая 2026 года по 16 октября и содержал записи почти 100 организаций, взломанных ShinyHunters. Каждая запись призывала жертв взаимодействовать с группой киберпреступников и обсуждать условия оплаты. На страницах также были размещены образцы украденных файлов и обещано, что эти файлы будут опубликованы в Интернете, если жертва проигнорирует их требования. На следующем снимке экрана показана кэшированная часть страницы вымогательства Shinywire для Intuitive Surgical, американской компании, занимающейся медицинскими технологиями, которая была взломана в марте 2026 года после того, как сотрудник попался на целевое фишинговое электронное письмо. Веб-сайт Shinywire, индексированный urlscan.io. Этот листинг представляет собой требование о вымогательстве, направленное против Intuitive Surgical, американской компании в области медицинских технологий, которая была взломана в марте 2026 года в результате целенаправленной фишинговой атаки по электронной почте, в результате которой были скомпрометированы учетные данные сотрудника. Организации-жертвы, которые отказались участвовать или вести переговоры через семь дней, обнаружат, что все их украденные данные опубликованы в блоге ShinyHunters, посрамляющем жертв (веб-сайт, доступный только через анонимную сеть Tor). В статье, опубликованной 15 октября, The Globe and Mail написала, что за несколько месяцев до того, как Эдвард Дубровский был арестован ФБР, канадский руководитель кибербезопасности утверждал в судебных документах, что он стал побочным ущербом в кампании бывшего делового партнера по «уничтожению» другого руководителя отрасли. В статье отмечается, что в этом году Дубровский подал иск в Онтарио против Дэниела Тобока, бывшего исполнительного директора Cypfer, фирмы по кибербезопасности, основанной в Торонто и имеющей офисы в США, Великобритании, Нидерландах, Объединенных Арабских Эмиратах и Мексике. Впервые они стали деловыми партнерами в 2017 году, а затем вместе разработали Cypfer, где г-н Дубровский был управляющим партнером и главным операционным директором. Но к 2024 году между ними произошла ссора: Дубровский обвинил Тобока в том, что он постепенно отстраняет его от деловых вопросов и принимает «все более капризные деловые решения». Сообщается, что г-н Тобок отверг обвинения и подал встречный иск, обвинив г-на Дубровского в доступе к конфиденциальной информации и несправедливой конкуренции с Cypfer посредством работы в другой фирме под названием CyberSteward Inc. Он также сказал, что г-н Дубровский представил себя в ложном свете как основатель Cypfer и не является акционером. ПРИЗРАЧНЫЙ БАЙТ Согласно интервью с несколькими бывшими коллегами г-на Тобока, еще восемь лет назад он был известен распространителям программ-вымогателей под особым прозвищем: Ghostbyte. В 2018 году канадская компания была взломана Dharma, популярной русскоязычной партнерской программой по вымогательству, которая впервые появилась в 2016 году. Компания-жертва сообщила представителю программы-вымогателя Dharma, что склоняется к оплате, поскольку некоторые файлы невозможно восстановить после блокировки, но им нужна лучшая гарантия того, что Dharma сдержит свое слово, если им заплатят. Отредактированная копия ответа представителя Dharma изображена ниже. На ней видно, что группа вымогателей призвала жертву связаться с человеком из канадской ИТ-фирмы, которая помогает компаниям, ищущим такие гарантии. Представитель Dharma порекомендовал жертве связаться по адресу электронной почты Ghostbyte@tutanota.com. «Если вам нужны гарантии, вы можете написать в ИТ-компанию», — говорится в ответе Дхармы. "Возьмите телефон и договаривайтесь с ними. Эта IT-компания часто решает подобные проблемы в Канаде. Вы можете связаться с ними и заключить договор на оказание услуг. Платить все равно придется". Ответ по электронной почте от