Федеральные следователи, преследующие хакерскую группировку ShinyHunters, которая недавно украла конфиденциальные данные ФБР, выявили руководителей двух фирм по ведению переговоров о выкупах, поддерживавших необычайно тесные связи с группировкой. По словам источников, близких к расследованию, один из американских руководителей даже помогал ShinyHunters управлять вебсайтом для вымогательства у потерпевших.
С 2019 года хакеры, связанные с ShinyHunters, взяли на себя ответственность за десятки крупных взломов данных. Первоначально группировку контролировали киберпреступники из Франции. По мере их ареста группировка переходила под контроль «Rey» — подростка-хакера из Аммана, Иордания. По данным ФБР, ShinyHunters вымогла более 70 миллионов долларов у жертв в этом году.
В конце сентября ShinyHunters взломала рекрутинговый сайт ФБР fbijobs.gov и угрожала опубликовать украденные файлы. Похищенные данные включали медицинские и психологические записи, номера социального страхования, домашние адреса сотрудников, информацию об их отделах и специализации.
После взлома рекрутингового сайта ФБР начала ускоренное расследование: задерживала и допрашивала людей, имевших контакты с Rey и другими подозреваемыми. В начале октября сообщалось, что Rey был задержан иорданскими властями и сотрудничает с ФБР.
Rey смог захватить контроль над группировкой после ареста одного из её ключевых членов. 15 сентября 2026 года нидерландские власти задержали осуждённого хакера Pepijn van der Stap, подозреваемого в причастности к ShinyHunters. Полиция применила взрывчатые шумовые гранаты при его аресте прямо во время его работы в онлайн-аккаунтах.
По словам источника, близкого к расследованию, при задержании van der Stap использовал приложение Signal. Это позволило следователям прочитать его недавнюю переписку с частыми контактами — включая переговорщиков по выкупам из Канады и США.
Сообщения van der Stap оказались ключевыми для раскрытия заговора, связанного с убийством. Нидерландское издание RTL сообщало, что два предполагаемых убийства должны были совершиться за границей, и что van der Stap, похоже, отдал приказ на их совершение (нет указаний на то, что приказы когда-либо были исполнены).
9 октября ФБР задержала 54-летнего канадского специалиста в области кибербезопасности Edward Dubrovsky по связи с расследованием ShinyHunters. Dubrovsky, недавно опубликовавший книгу о борьбе с кибервымогательством, был обвинён в угрозах раскрыть украденные данные и вмешательстве в межштатную торговлю через вымогательство. Прокуроры просили, чтобы Dubrovsky оставался под стражей до суда.
По словам источника, близкого к расследованию, сообщения van der Stap в Signal показывают, что он часто общался с Dubrovsky и по крайней мере с одним руководителем крупной американской консалтинговой фирмы. Эти руководители часто знали детали о новых жертвах ShinyHunters раньше, чем узнавали сами потерпевшие.
Ещё одно взрывоопасное обнаружение: переписка голландского хакера показала, что Dubrovsky знал о краже ShinyHunters конфиденциальных данных с серверов ФБР и никогда не уведомил ведомство до того, как группировка пригрозила опубликовать личные файлы сотрудников.
Shinywire
По данным двух источников, близких к расследованию ShinyHunters, следователи ФБР считают, что по крайней мере один руководитель американской консалтинговой фирмы активно участвовал в управлении несуществующим вебсайтом для вымогательства ShinyHunters «shinywire.com». Названия компании и подозреваемого руководителя не разглашаются, поскольку они ещё не обвинены в преступлении, но это престижная фирма с более чем 1000 сотрудников.
Сайт Shinywire был активен примерно с 3 мая 2026 по 16 октября и содержал записи о почти 100 организациях, взломанных ShinyHunters. Каждая запись побуждала потерпевших вступить в контакт с преступной группировкой и обсудить условия платежа. На страницах также содержались образцы украденных файлов и обещания их публикации, если жертвы игнорировали требования.
Организации, отказавшиеся вступать в переговоры в течение семи дней, видели, как все их украденные данные публиковались на блоге для публичного позора ShinyHunters — вебсайте, доступном только через сеть анонимности Tor.
Несколько месяцев до своего ареста Dubrovsky подавал в суд на Daniel Tobok, бывшего генерального директора фирмы Cypfer (компания по кибербезопасности, основанная в Торонто). Двое сотрудничали с 2017 года и развивали Cypfer вместе, где Dubrovsky был управляющим партнёром и главным операционным директором. К 2024 году они поссорились. Dubrovsky обвинил Tobok в постепенном вытеснении его из деловых вопросов и принятии непредсказуемых решений.
Ghostbyte
По словам нескольких бывших коллег Tobok, ещё восемь лет назад поставщики программ-вымогателей знали его под псевдонимом Ghostbyte. В 2018 году канадскую компанию взломала Dharma — распространённый русскоязычный партнёр-вымогатель. Жертва сказала представителю Dharma, что склонна платить, но нужны гарантии выполнения обещаний.
В ответе представитель Dharma посоветовал жертве связаться с человеком из канадской ИТ-фирмы, которая помогает компаниям получить такие гарантии. Представитель рекомендовал почту ghostbyte@tutanota.com.
«Если хотите гарантий, пишите в ИТ-компанию, — посоветовал Dharma. — Позвоните и договаривайтесь. Эта ИТ-компания часто решает такие проблемы в Канаде. Вы можете с ними связаться и подписать контракт. Платить всё равно придётся».
Неясно, когда-либо ли Tobok использовал адрес Ghostbyte, предложенный представителем Dharma, и он не ответил на запросы о комментариях. Однако сервис отслеживания взломов Constella Intelligence обнаружил, что адрес электронной почты dtobok@me.com, который часто использует Tobok, связан с двумя онлайн-аккаунтами с именем пользователя «ghostbyte», включая аккаунт Snapchat.
Кроме того, Constella обнаружила, что почта представителя Dharma luckygoodlucky@tuta.io связана с адресом крипто-кошелька, обработавшего 38 транзакций на сумму 43 биткойнов (примерно 3,5 миллиона долларов по текущему курсу). Последняя транзакция по этому кошельку датирована февралём 2019 года.
Cypfer заявила, что её деятельность не включает облегчение платежей вымогателям и она узнала об аресте Dubrovsky из новостей. «Мы не имели никаких предварительных сведений об аресте», — сказала представитель компании. «Cypfer не получала контактов от правоохранительных органов и, насколько нам известно, не является объектом расследования».
Cypfer отметила, что недавно была приобретена холдингом Apros Group, возглавляемым Jason Hogg, бывшим спецагентом ФБР и бывшим генеральным директором Aon Cyber Solutions Group. В 2020 году Aon приобрела Cytelligence, где Tobok был основателем и генеральным директором, а Dubrovsky — управляющим партнёром.
Конфликт интересов
В США не является незаконным платить хакерам за ключи от зашифрованных серверов или за обещание удалить украденные файлы. Однако жертвы могут столкнуться с проблемами, если платят группам, санкционированным Казначейством США. ShinyHunters не входит в список санкционированных группировок.
Жертвы обычно направляются своей страховой компанией к определённой фирме реагирования на инциденты. Но не все компании готовы облегчать платежи вымогателям. Если жертва решит платить, её консультант заменяют на ту, которая не возражает против работы с преступниками.
В декабре 2024 года ShinyHunters начала вымогательство у образовательной компании PowerSchool, похитив данные 62 миллионов студентов и 9,5 миллионов учителей США и Канады. PowerSchool якобы заплатила выкуп 2,85 миллиона долларов и получила помощь от CyberSteward.
Но платёж не остановил дальнейшие попытки вымогательства с использованием тех же украденных данных. К май 2025 года отдельные школьные округа получали отдельные требования платежей с образцами тех же файлов. Это показывает, что нет технического способа проверить, удалили ли преступники данные, как обещали, или предотвратить их использование другими.
Ведущие фирмы реагирования на инциденты, включая Coveware и Unit 221B, последовательно предупреждали жертв против платежей ShinyHunters, отмечая, что «удалённые» данные часто хранятся, перепродаются или используются для последующего вымогательства.
ФБР поддержала эту позицию в предупреждении от 15 мая 2026 года. Члены ShinyHunters начали преследовать и угрожать сотрудникам Coveware и Unit 221B за их рекомендации.
В разговорах на Telegram в мае 2026 года лидеры ShinyHunters жаловались, что Coveware снижает их ставки платежей. «Большинство этих компаний заплатили бы, если бы не дезинформация Coveware», — писал оператор ShinyHunters. «Кто-то на 100% Coveware специально делает всё, чтобы я не получал платежи».
В другом разговоре 11 апреля 2026 года оператор ShinyHunters написал, что пытается «устранить проблему» — Coveware. «Я уверен, компания заплатит, но я знаю о Coveware и их участии, и, вероятно, не получаю много других переговоров, потому что Coveware постоянно вмешивается».
Mark Camillo, генеральный директор CyberAcuView (промышленной группы, основанной консорциумом крупных страховщиков кибер-рисков в 2021 году), отмечает конфликт интересов: фирмы, беря процент от суммы выкупа, заинтересованы в благоприятных условиях для нападавших, а не в снижении цены.
«Отрасль узнала, что многие платильщики вымогателей берут процент от итогового платежа, который может не быть разглашен, — сказал Camillo. — Это бессмысленно, если они же и переговорщик. Нужна большая прозрачность, потому что никто в экосистеме не должен получать прибыль, зависящую только от размера платежа».
В последние месяцы Министерство юстиции США преследовало нескольких переговорщиков по выкупам, обвиняемых в сговоре с киберпреступниками. 7 октября Министерство обвинило генерального директора MonsterCloud Zohar Pinhasi в мошенничестве: он брал деньги у клиентов на устранение вымогательства, но тайно платил хакерам 8 миллионов долларов, взимая с клиентов 19 миллионов.
В июле Angelo Martino, 41-летний переговорщик из Флориды, был приговорён к 70 месяцам тюремного заключения за сговор с группировкой Blackcat для вымогательства у жертв. Martino получал деньги от Blackcat за раскрытие конфиденциальной информации о переговорной позиции и стратегии клиентов его работодателя, позволяя преступникам максимизировать выкупы.
