Le autorità federali statunitensi che indagano sul gruppo hacker ShinyHunters hanno identificato dirigenti di due distinte aziende di negoziazione del ransomware che mantenevano relazioni insolitamente strette con gli estorsori. Secondo fonti vicine all'indagine, un dirigente basato negli Stati Uniti avrebbe presumibilmente assistito ShinyHunters nell'operatività di un sito web progettato per mettere sotto pressione le vittime affinché pagassero i riscatti. L'indagine si è intensificata dopo che ShinyHunters ha recentemente rubato dati altamente sensibili dall'FBI, spingendo a un'azione rapida per arrestare e interrogare individui con collegamenti comunicativi con il gruppo.
ShinyHunters ha rivendicato la responsabilità di dozzine di gravi violazioni dei dati dal 2019. Originariamente gestito da criminali informatici in Francia, il controllo del marchio è passato infine a un giovane hacker di Amman, Giordania, noto come "Rey". L'FBI riferisce che ShinyHunters ha estorto oltre 70 milioni di dollari dalle vittime solo quest'anno. Alla fine di settembre, il gruppo ha violato il sito web di reclutamento dell'FBI, fbijobs.gov, minacciando di pubblicare file rubati contenenti cartelle cliniche, numeri della previdenza sociale e indirizzi domestici dei dipendenti. A seguito della violazione, Reuters ha riferito il 3 ottobre che Rey era stato detenuto dalle autorità giordane e stava collaborando con l'FBI.
L'indagine ha guadagnato una significativa slancio dopo che le autorità olandesi hanno arrestato l'hacker condannato Pepijn van der Stap il 15 settembre 2026. La polizia ha utilizzato granate flash-bang per arrestare Van der Stap mentre era connesso a vari account online. Le autorità hanno sequestrato il suo account di messaggistica istantanea Signal, rivelando comunicazioni con contatti frequenti, inclusi negoziatori di ransomware in Canada e negli Stati Uniti. Questi messaggi hanno fornito prove chiave che collegavano i dirigenti a un complotto per l'omicidio su commissione che avrebbe presumibilmente emergito immediatamente dopo l'arresto di Van der Stap, sebbene non vi siano indicazioni che gli ordini siano stati eseguiti.
Il 9 ottobre, l'FBI ha arrestato Edward Dubrovsky, un dirigente canadese della cybersecurity di 54 anni e autore di un libro sulla gestione dell'estorsione informatica. I documenti giudiziari accusano Dubrovsky di aver minacciato di divulgare dati rubati e di aver interferito con il commercio interstatale attraverso l'estorsione. Le fonti indicano che i messaggi di Van der Stap mostravano come Dubrovsky conversasse frequentemente con lui e con almeno un dirigente di una grande società di consulenza con sede negli Stati Uniti. Si riferisce che questi dirigenti conoscevano i dettagli sulle nuove vittime di ShinyHunters prima che le stesse vittime fossero a conoscenza delle violazioni. Inoltre, gli investigatori hanno scoperto che Dubrovsky sapeva che ShinyHunters aveva rubato dati sensibili dai server dell'FBI ma non aveva informato l'agenzia prima che il gruppo minacciasse di pubblicare i file sui social media.
Gli investigatori federali ritengono che un dirigente di una prestigiosa società di consulenza statunitense con oltre 1.000 associati abbia svolto un ruolo attivo nell'operatività di "shinywire[.]com", un sito web di estorsione ora defunto utilizzato da ShinyHunters. Il sito è stato attivo dal 3 maggio 2026 fino al 16 ottobre e presentava voci per quasi 100 organizzazioni violate. Ogni voce esortava le vittime a negoziare i termini di pagamento e includeva campioni di file rubati, promettendo la pubblicazione se le richieste fossero state ignorate. Le organizzazioni che si rifiutavano di impegnarsi entro sette giorni avevano i loro dati pubblicati su un blog di vergogna di ShinyHunters accessibile solo tramite la rete Tor.
L'indagine ha anche portato alla luce una storia complessa che coinvolge Daniel Tobok, ex CEO di Cypfer, noto negli ambienti del ransomware con lo pseudonimo "Ghostbyte". Nel 2018, un rappresentante del ransomware Dharma ha indirizzato una vittima a contattare un'azienda IT all'indirizzo ghostbyte@tutanota.com per garanzie sul pagamento. Sebbene non sia chiaro se Tobok abbia utilizzato quell'indirizzo specifico, il servizio di monitoraggio delle violazioni Constella Intelligence ha trovato la sua email associata ad account online che utilizzavano il nome utente "ghostbyte". Cypfer ha dichiarato in un comunicato che la sua attività non include la facilitazione dei pagamenti del ransomware e ha affermato di non avere alcuna conoscenza precedente dell'arresto di Dubrovsky.
Il caso evidenzia interessi conflittuali all'interno dell'industria della risposta agli incidenti informatici. Sebbene pagare gli hacker non sia illegale negli Stati Uniti, gli esperti avvertono che ShinyHunters spesso trattiene i dati rubati nonostante le promesse di eliminarli. L'FBI ha emesso un avviso il 15 maggio 2026, consigliando alle vittime di non pagare il gruppo. Si riferisce che i membri di ShinyHunters hanno molestato i dipendenti di aziende come Coveware e Unit 221B per aver consigliato ai clienti di non pagare, con chat interne che rivelavano frustrazione per il fatto che queste aziende stavano abbassando i loro tassi di pagamento.
I leader del settore notano che alcuni negoziatori addebitano una percentuale del riscatto totale, creando un incentivo a massimizzare i pagamenti piuttosto che negoziarli al ribasso. Il Dipartimento di Giustizia degli Stati Uniti ha recentemente processato diversi negoziatori per cospirazione con criminali informatici. Nel mese di ottobre, il CEO di MonsterCloud Zohar Pinhasi è stato accusato di frode telematica per aver presumibilmente addebitato ai clienti 19 milioni di dollari mentre pagava segretamente agli hacker 8 milioni di dollari. Inoltre, Angelo Martino è stato condannato a 70 mesi di prigione nel luglio scorso per cospirazione con il gruppo Blackcat/ALPHV per estorcere le vittime.
Fonti: Krebs on Security.