As autoridades federais dos EUA que perseguem o grupo de hackers ShinyHunters identificaram executivos em duas empresas separadas de negociação de resgate que mantiveram relacionamentos incomumente próximos com os extorsionadores. De acordo com fontes próximas à investigação, um executivo baseado nos Estados Unidos supostamente auxiliou a ShinyHunters na operação de um site projetado para pressionar as vítimas a pagar resgates. A investigação se intensificou após a ShinyHunters ter roubado recentemente dados altamente sensíveis do FBI, provocando ações rápidas para prender e interrogar indivíduos com links de comunicação com o grupo.
A ShinyHunters assumiu a responsabilidade por dezenas de grandes violações de dados desde 2019. Originalmente operada por cibercriminosos na França, o controle da marca eventualmente passou para um hacker adolescente de Amã, Jordânia, conhecido como "Rey". O FBI relata que a ShinyHunters extorquiu mais de US$ 70 milhões das vítimas apenas este ano. No final de setembro, o grupo invadiu o site de recrutamento do FBI, fbijobs.gov, ameaçando publicar arquivos roubados contendo registros médicos, números de Seguro Social e endereços residenciais dos funcionários. Após a violação, a Reuters relatou em 3 de outubro que Rey havia sido detido pelas autoridades jordanas e estava cooperando com o FBI.
A investigação ganhou tração significativa após as autoridades holandesas prenderem o hacker condenado Pepijn van der Stap em 15 de setembro de 2026. A polícia usou granadas de efeito sonoro para apreender Van der Stap enquanto ele estava logado em várias contas online. As autoridades apreenderam sua conta de mensagens instantâneas do Signal, revelando comunicações com contatos frequentes, incluindo negociadores de resgate no Canadá e nos Estados Unidos. Essas mensagens forneceram evidências-chave ligando executivos a um esquema de assassinato por encomenda que supostamente surgiu imediatamente após a prisão de Van der Stap, embora não haja indicação de que as ordens tenham sido cumpridas.
Em 9 de outubro, o FBI prendeu Edward Dubrovsky, um executivo canadense de cibersegurança de 54 anos e autor de um livro sobre como lidar com extorsão cibernética. Registros judiciais acusam Dubrovsky de ameaçar divulgar dados roubados e interferir no comércio interestadual por meio de extorsão. Fontes indicam que as mensagens de Van der Stap mostraram que Dubrovsky conversava frequentemente com ele e com pelo menos um executivo de uma grande empresa de consultoria baseada nos EUA. Esses executivos supostamente conheciam detalhes sobre novas vítimas da ShinyHunters antes mesmo das próprias vítimas estarem cientes das violações. Além disso, os investigadores descobriram que Dubrovsky sabia que a ShinyHunters havia roubado dados sensíveis dos servidores do FBI, mas falhou em informar o bureau antes que o grupo ameaçasse publicar os arquivos nas redes sociais.
Os investigadores federais acreditam que um executivo de uma prestigiada empresa de consultoria dos EUA com mais de 1.000 associados desempenhou um papel ativo na operação do "shinywire[.]com", um site de extorsão agora extinto usado pela ShinyHunters. O site esteve ativo de 3 de maio de 2026 até 16 de outubro e apresentou entradas para quase 100 organizações hackeadas. Cada entrada instava as vítimas a negociar os termos de pagamento e incluía amostras de arquivos roubados, prometendo publicação se as demandas fossem ignoradas. As organizações que se recusaram a engajar-se dentro de sete dias tiveram seus dados publicados em um blog de vergonha da ShinyHunters acessível apenas via rede Tor.
A investigação também revelou uma história complexa envolvendo Daniel Tobok, ex-CEO da Cypfer, que era conhecido nos círculos de resgate pelo apelido "Ghostbyte". Em 2018, um representante do ransomware Dharma direcionou uma vítima a entrar em contato com uma empresa de TI no endereço ghostbyte@tutanota.com para obter garantias sobre o pagamento. Embora não esteja claro se Tobok usou aquele endereço específico, o serviço de rastreamento de violações Constella Intelligence encontrou seu e-mail associado a contas online que usam o nome de usuário "ghostbyte". A Cypfer declarou em um comunicado que seu negócio não inclui facilitar pagamentos de resgate e alegou não ter conhecimento prévio da prisão de Dubrovsky.
O caso destaca interesses conflitantes dentro da indústria de resposta a incidentes cibernéticos. Embora pagar hackers não seja ilegal nos EUA, especialistas alertam que a ShinyHunters frequentemente retém dados roubados apesar das promessas de excluí-los. O FBI emitiu um alerta em 15 de maio de 2026, aconselhando as vítimas contra o pagamento ao grupo. Membros da ShinyHunters supostamente intimidaram funcionários de empresas como Coveware e Unit 221B por aconselharem clientes a não pagar, com chats internos revelando frustração de que essas empresas estavam reduzindo suas taxas de pagamento.
Líderes da indústria observam que alguns negociadores cobram uma porcentagem do resgate total, criando um incentivo para maximizar os pagamentos em vez de negociá-los para baixo. O Departamento de Justiça dos EUA processou recentemente vários negociadores por conspirar com cibercriminosos. Em outubro, o CEO da MonsterCloud, Zohar Pinhasi, foi acusado de fraude eletrônica por supostamente cobrar US$ 19 milhões dos clientes enquanto secretamente pagava US$ 8 milhões aos hackers. Além disso, Angelo Martino foi condenado a 70 meses de prisão em julho por conspirar com o grupo Blackcat/ALPHV para extorquir vítimas.
Fontes: Krebs on Security.