US-Bundesbehörden, die der Hackergruppe ShinyHunters nachgehen, haben Führungskräfte bei zwei separaten Unternehmen für Ransomware-Verhandlungen identifiziert, die ungewöhnlich enge Beziehungen zu den Erpressern unterhielten. Laut Quellen in der Nähe der Ermittlungen soll ein im Vereinigten Staaten ansässiger Geschäftsführer ShinyHunters angeblich dabei geholfen haben, eine Website zu betreiben, die darauf ausgelegt war, Opfer unter Druck zu setzen, Lösegelder zu zahlen. Die Untersuchung verschärfte sich, nachdem ShinyHunters kürzlich hochsensible Daten vom FBI gestohlen hatte, was zu schnellen Maßnahmen führte, um Personen mit Kommunikationsverbindungen zur Gruppe festzunehmen und zu befragen.
ShinyHunters hat seit 2019 die Verantwortung für Dutzende schwerwiegender Datenschutzverletzungen übernommen. Ursprünglich von Cyberkriminellen in Frankreich betrieben, ging die Kontrolle über die Marke schließlich an einen jugendlichen Hacker aus Amman, Jordanien, bekannt als "Rey", über. Das FBI berichtet, dass ShinyHunters allein in diesem Jahr mehr als 70 Millionen US-Dollar von Opfern erpresst hat. Ende September hackte die Gruppe die Rekrutierungswebsite des FBI, fbijobs.gov, und drohte damit, gestohlene Dateien zu veröffentlichen, die medizinische Aufzeichnungen, Sozialversicherungsnummern und private Adressen der Mitarbeiter enthielten. Nach dem Vorfall berichtete Reuters am 3. Oktober, dass Rey von jordanischen Behörden festgenommen worden sei und mit dem FBI zusammenarbeite.
Die Ermittlungen gewannen erheblichen Schwung, nachdem niederländische Behörden den verurteilten Hacker Pepijn van der Stap am 15. September 2026 festnahmen. Die Polizei setzte Blitzgranaten ein, um Van der Stap zu ergreifen, während er in verschiedenen Online-Konten angemeldet war. Die Behörden sicherten sein Signal-Instant-Messaging-Konto, das Kommunikationen mit häufigen Kontakten offenbarte, darunter Ransomware-Verhandler in Kanada und den Vereinigten Staaten. Diese Nachrichten lieferten wichtige Beweise, die Führungskräfte mit einem angeblichen Auftragsmordplan verknüpften, der unmittelbar nach der Festnahme von Van der Stap aufgetaucht sein soll, obwohl es keine Anzeichen dafür gibt, dass die Befehle ausgeführt wurden.
Am 9. Oktober verhaftete das FBI Edward Dubrovsky, einen 54-jährigen kanadischen Cybersecurity-Führungskraft und Autor eines Buches über den Umgang mit Cybererpressung. Gerichtsakten werfen Dubrovsky vor, die Offenlegung gestohlener Daten angedroht und durch Erpressung den zwischenstaatlichen Handel behindert zu haben. Quellen geben an, dass die Nachrichten von Van der Stap zeigten, dass Dubrovsky häufig mit ihm und mindestens einem Geschäftsführer einer großen US-amerikanischen Beratungsfirma sprach. Diese Führungskräfte sollen Details über neue ShinyHunters-Opfer gekannt haben, bevor die Opfer selbst von den Datenschutzverletzungen wussten. Darüber hinaus stellten Ermittler fest, dass Dubrovsky wusste, dass ShinyHunters sensible Daten von FBI-Servern gestohlen hatte, aber das Büro nicht informierte, bevor die Gruppe drohte, die Dateien in sozialen Medien zu veröffentlichen.
Bundesermittler glauben, dass ein Geschäftsführer einer angesehenen US-Beratungsfirma mit über 1.000 Mitarbeitern eine aktive Rolle beim Betrieb von "shinywire[.]com" spielte, einer mittlerweile nicht mehr existierenden Erpressungswebsite, die von ShinyHunters genutzt wurde. Die Seite war vom 3. Mai 2026 bis zum 16. Oktober aktiv und enthielt Einträge für fast 100 gehackte Organisationen. Jeder Eintrag forderte Opfer auf, Zahlungsbedingungen zu verhandeln, und enthielt Proben gestohlener Dateien mit der Zusage der Veröffentlichung, falls die Forderungen ignoriert würden. Organisationen, die sich innerhalb von sieben Tagen nicht einließen, hatten ihre Daten auf einem ShinyHunters-Scham-Blog veröffentlicht, der nur über das Tor-Netzwerk zugänglich war.
Die Untersuchung deckte auch eine komplexe Geschichte mit Daniel Tobok, dem ehemaligen CEO von Cypfer, auf, der in Ransomware-Kreisen unter dem Spitznamen "Ghostbyte" bekannt war. Im Jahr 2018 wies ein Vertreter von Dharma-Ransomware ein Opfer an, sich für Zahlungsgarantien an eine IT-Firma unter ghostbyte@tutanota.com zu wenden. Obwohl unklar ist, ob Tobok diese spezifische Adresse verwendet hat, fand der Dienst zur Verfolgung von Datenschutzverletzungen Constella Intelligence seine E-Mail-Adresse in Verbindung mit Online-Konten, die den Benutzernamen "ghostbyte" verwendeten. Cypfer erklärte in einer Pressemitteilung, dass sein Geschäft nicht die Erleichterung von Ransomware-Zahlungen umfasse und behauptete keine vorherige Kenntnis der Festnahme von Dubrovsky.
Der Fall unterstreicht widersprüchliche Interessen innerhalb der Branche für Incident Response im Cyberraum. Während das Bezahlen von Hackern in den USA nicht illegal ist, warnen Experten davor, dass ShinyHunters gestohlene Daten oft behält, trotz Versprechen, sie zu löschen. Das FBI gab am 15. Mai 2026 eine Warnung heraus und riet Opfern davon ab, der Gruppe zu zahlen. Mitglieder von ShinyHunters sollen Mitarbeiter bei Firmen wie Coveware und Unit 221B belästigt haben, weil diese Kunden davon abraten, zu zahlen; interne Chats enthüllten Frustration darüber, dass diese Firmen ihre Zahlungsraten senkten.
Branchenführer stellen fest, dass einige Verhandler einen Prozentsatz des gesamten Lösegelds verlangen, was einen Anreiz schafft, die Auszahlungen zu maximieren, anstatt sie zu verhandeln. Das US-Justizministerium hat kürzlich mehrere Verhandler wegen Verschwörung mit Cyberkriminellen verfolgt. Im Oktober wurde Zohar Pinhasi, CEO von MonsterCloud, des Drahtbetrugs angeklagt, weil er Kunden angeblich 19 Millionen US-Dollar in Rechnung stellte, während er Hackern heimlich 8 Millionen US-Dahl zahlte. Darüber hinaus wurde Angelo Martino im Juli zu 70 Monaten Haft verurteilt, weil er sich mit der Blackcat/ALPHV-Gruppe verschworen hatte, um Opfer zu erpressen.
Quellen: Krebs on Security.