ФБР подозревает топ-менеджера в помощи сайту вымогателей ShinyHunters

KrebsOnSecurity сообщает со ссылкой на источники, близкие к расследованию: американские федеральные следователи, занимающиеся хакерской группой ShinyHunters, выявили руководителей двух фирм, которые ведут переговоры с вымогателями. У этих людей были необычно тесные отношения с группой. По словам источников, один из руководителей в США даже помогал ShinyHunters управлять сайтом, который давил на жертв, чтобы они заплатили выкуп.

От двух источников, знакомых с расследованием, издание узнало: следователи ФБР полагают, что как минимум один руководитель американской консалтинговой фирмы играл активную роль в работе ныне закрытого сайта шантажа shinywire[.]com. Издание не называет ни фирму, ни подозреваемых, потому что им пока не предъявлены обвинения; известно лишь, что фирма уважаемая и в ней более 1000 сотрудников (associates). Это именно версия следователей, а не обвинение или установленный факт. Сайт работал примерно с 3 мая 2026 года по 16 октября, на нём были страницы почти о 100 взломанных организациях. Каждая страница призывала жертву выйти на связь и обсудить условия оплаты, содержала образцы украденных файлов и обещала их публикацию. Если жертва за семь дней не вступала в переговоры, все украденные данные выкладывали в блоге позора ShinyHunters в сети Tor.

Контекст. Хакеры, связанные с ShinyHunters, с 2019 года заявили о десятках крупных утечек; тогда группой управляли киберпреступники из Франции. По мере арестов управление брендом перешло к подростку по прозвищу Rey из Аммана (Иордания), которого опознали в прошлом году. По данным ФБР, с начала года ShinyHunters вымогла у жертв более 70 млн долларов. В конце сентября группа взломала сайт набора персонала ФБР fbijobs.gov и пригрозила опубликовать украденное: по сообщениям, там были медицинские и психологические записи, номера соцстрахования, домашние адреса и данные о подразделении и специализации сотрудников. После этого ведомство с необычной скоростью начало арестовывать и допрашивать людей, общавшихся с Rey и другими подозреваемыми. Reuters сообщило 3 октября, что Rey задержан иорданскими властями и сотрудничает с ФБР.

Утечка по Сигналу. Вечером 15 сентября 2026 года в Нидерландах арестовали осуждённого ранее хакера Пепейна ван дер Стапа, подозреваемого в связях с ShinyHunters; по сообщениям, полиция применяла светошумовые гранаты. По словам источника, его взяли, когда он был в своём аккаунте Signal, и это позволило прочитать недавнюю переписку с частыми собеседниками, включая переговорщиков по выкупам из Канады и США. Несколько источников сказали, что эти сообщения помогли раскрыть заговор с целью заказного убийства, возникший сразу после ареста. Голландское издание RTL писало, что два убийства планировались за границей и что, судя по всему, приказ мог отдать ван дер Стап; признаков того, что приказы выполнили, нет.

Дубровски. 9 октября KrebsOnSecurity первым сообщило, что ФБР арестовало 54-летнего канадского руководителя в сфере кибербезопасности Эдварда Дубровски. Он недавно выпустил книгу о том, как действовать при кибервымогательстве, и советовал всегда вступать в контакт с хакерами. По материалам суда, ему предъявлено обвинение в угрозе раскрыть украденные или взломанные данные и в препятствовании межштатной торговле путём вымогательства. По сообщению Politico, обвинение просит держать его под стражей до суда, а материалы дела засекречены. Из переписки ван дер Стапа, по словам источника, следует, что Дубровски и как минимум один руководитель крупной американской консалтинговой фирмы часто общались с хакером и нередко знали подробности о новых жертвах раньше, чем те сами узнавали о взломе. Кроме того, Дубровски якобы знал, что ShinyHunters украла чувствительные данные с серверов ФБР, и не сообщил об этом ведомству до того, как группа пригрозила в Twitter/X опубликовать личные дела сотрудников. Источник не называет Дубровски тем самым руководителем, который подозревается в работе Shinywire.

Cypfer и Ghostbyte. The Globe and Mail писала 15 октября, что за несколько месяцев до ареста Дубровски в судебных документах утверждал, что стал побочной жертвой кампании бывшего партнёра, направленной на то, чтобы «уничтожить» другого руководителя отрасли. Он подал в Онтарио иск против Даниэля Тобока, бывшего гендиректора Cypfer: фирмы по кибербезопасности из Торонто с офисами в США, Великобритании, Нидерландах, ОАЭ и Мексике. Партнёрами они стали в 2017 году, Дубровски был управляющим партнёром и операционным директором Cypfer, но к 2024 году они рассорились. Тобок, по сообщениям, отверг обвинения и подал встречный иск. Со слов нескольких бывших коллег Тобока, ещё лет восемь назад вымогатели знали его под ником Ghostbyte. В 2018 году канадскую компанию взломала группа Dharma, и её представитель посоветовал жертве, которой нужны гарантии выплаты, обратиться в канадскую ИТ-фирму по адресу ghostbyte@tutanota.com. Неясно, пользовался ли Тобок этим адресом; он не ответил на запросы о комментарии. Зато сервис Constella Intelligence связывает его частый адрес dtobok@me.com с двумя аккаунтами, в том числе в Snapchat, с именем «ghostbyte». В материале не сказано, что Тобока обвиняют в преступлении.

Позиция Cypfer. В заявлении от 14 октября Cypfer сказала, что её бизнес не включает осуществление или посредничество при выплатах вымогателям, что о задержании Дубровски она узнала из СМИ, что CyberSteward и Cypfer, отдельные компании без общих должностных лиц и сотрудников, и что Cypfer недавно была куплена холдинговой компанией Apros Group, которую возглавляет бывший спецагент ФБР и бывший гендиректор Aon Cyber Solutions Group Джейсон Хогг.

Почему это спорная область. Платить хакерам в США не запрещено, а ShinyHunters не находится под санкциями ни США, ни других государств. Обычно страховщик направляет жертву к конкретной фирме по реагированию на инциденты, но не все такие фирмы согласны помогать с выплатами, и те, кто отказывается, заменяются теми, кто не возражает. В декабре 2024 года ShinyHunters начала вымогать деньги у образовательной компании PowerSchool, украв данные 62 млн учеников и 9,5 млн учителей в США и Канаде. По сообщениям, PowerSchool заплатила 2,85 млн долларов, и, по её же заявлению, ей в этом помогала CyberSteward. Партнёр ShinyHunters Мэтью Лейн, 20 лет, из Стерлинга (Массачусетс), в ноябре 2025 года получил четыре года тюрьмы за участие во взломе PowerSchool. Выплата не остановила вымогательство: к маю 2025 года отдельные школьные округа получали свои требования с образцами тех же файлов. Фирмы Coveware и Unit 221B последовательно предупреждают не платить ShinyHunters, потому что «уничтоженные» данные часто сохраняют, перепродают или используют для давления на клиентов жертвы. ФБР 15 мая 2026 года выпустило предупреждение с тем же советом. Участники ShinyHunters при этом преследуют и запугивают сотрудников Coveware и Unit 221B за такие советы.

Ключевые факты

• По данным двух источников KrebsOnSecurity, следователи ФБР считают, что как минимум один руководитель американской консалтинговой фирмы (более 1000 сотрудников) играл активную роль в работе сайта шантажа ShinyHunters shinywire[.]com. Фирма и подозреваемые не названы и не обвинены.
• Сайт работал примерно с 3 мая по 16 октября 2026 года, содержал записи почти о 100 взломанных организациях и публиковал данные жертв, не вышедших на связь за семь дней.
• ФБР арестовало 54-летнего канадского руководителя Эдварда Дубровски, автора книги о кибервымогательстве. По материалам суда, ему предъявлено обвинение в угрозе раскрыть украденные данные и в вымогательстве; материалы дела засекречены.
• Основа версии следствия, Signal-переписка арестованного в Нидерландах 15 сентября Пепейна ван дер Стапа: по словам источника, переговорщики часто знали о новых жертвах раньше самих жертв.
• По данным ФБР, с начала года ShinyHunters вымогла более 70 млн долларов; ведомство и фирмы Coveware и Unit 221B советуют не платить группе.

Почему это важно

Если версия следователей подтвердится, речь пойдёт о людях, которые формально помогают жертвам вымогательства, но, по утверждению источников, были близки к самой группе и знали о жертвах раньше них. Это бьёт по доверию ко всей отрасли переговоров с вымогателями. Контекст усиливает взлом сайта набора персонала ФБР и то, что ведомство, по сообщениям, действует с необычной скоростью. Пока это сведения из анонимных источников, а не обвинения.

Кому это важно

Руководителям служб безопасности и юристам компаний, которые могут оказаться жертвой вымогательства. Страховщикам, которые направляют клиентов к конкретным фирмам по реагированию на инциденты. Самим фирмам по реагированию и переговорам, включая тех, кто помогает с выплатами. Интересно и всем, кто следит за ShinyHunters и ФБР.

Как это применить

Прямых инструкций в материале нет, но выводы из него следуют. ФБР в предупреждении от 15 мая 2026 года советует не платить ShinyHunters, с ним согласны Coveware и Unit 221B: «уничтоженные» данные часто хранят, перепродают или используют снова, а проверить удаление технически невозможно. Случай PowerSchool показывает, что выплата не остановила новые требования с теми же файлами. При выборе подрядчика по реагированию на инцидент стоит помнить, что платить выкуп в США не запрещено, а фирмы по-разному относятся к содействию в выплатах.

Можно ли доверять

Материал опирается на анонимные источники, близкие к расследованию, и на заявления из судебных документов и других изданий (Politico, Reuters, The Globe and Mail, RTL). Фирма и подозреваемые не названы, обвинения им не предъявлены, и источник не называет Дубровски тем руководителем, кто подозревается в работе Shinywire. Связь Даниэля Тобока с ником Ghostbyte основана на интервью бывших коллег и совпадении имени пользователя и адреса электронной почты; неясно, пользовался ли он адресом из ответа Dharma, и ему не предъявлено обвинений. Cypfer заявила, что не получала обращений от правоохранителей и не является объектом расследования.

Риски и подводные камни

Легко приписать вину не тем людям: подозреваемая фирма не названа, и нельзя отождествлять её с Cypfer, CyberSteward или другой компанией. Обвинения Дубровски касаются вымогательства, но не доказывают, что именно он управлял Shinywire. Заявления о заговоре с заказными убийствами, сведения из сообщений, признаков исполнения приказов нет. Материалы дела засекречены, так что картина может измениться после публикации обвинений.

«CYPFER не получала обращений от правоохранительных органов и, насколько нам известно, не является объектом какого-либо расследования правоохранительных органов.»

— представитель Cypfer, письмо KrebsOnSecurity