Федерални разследващи подозират, че ръководен кадър в консултантска фирма в САЩ е помагал на хакерската група ShinyHunters да поддържа уебсайт, използван за оказване на натиск върху компрометирани компании да платят искания откуп.

Обвинението повдига въпроси дали доверени консултанти при атаки с откупващ софтуер не са преминали границата от подпомагане на жертвите към съдействие на престъпниците, изискващи заплащане за откраднати данни.

Заподозреният оператор на уебсайта не е публично назован, нито са му повдигнати обвинения. Отделно от това на 8 октомври в Пенсилвания ФБР арестува Едуард Дубровски, 54-годишен канадски ръководител в сферата на киберсигурността. Според разпространената информация не е установено Дубровски да е управлявал уебсайта, а твърденията срещу него остават недоказани, докато федералното разследване на действията му продължава.

Уебсайтът shinywire[.]com според съобщенията е функционирал приблизително от 3 май до 16 октомври 2026 г. В него са били изброени близо 100 организации, атакувани от ShinyHunters. Всеки запис е приканвал жертвата да се свърже с групата, да обсъди условията за плащане и да предотврати разпространението на откраднатата информация, според източници, запознати с продължаващото федерално разследване.

Shinywire превръща откраднатите файлове в средство за натиск за плащане

Страниците на жертвите са показвали мостри от откраднати файлове в подкрепа на исканията. Организациите, които не са започнали комуникация в рамките на седем дни, са били изправени пред риск от публикуване на данните им в отделен сайт за изтичане на информация на ShinyHunters, достъпен през Tor. Тази схема е използвала публичното излагане на показ и крайни срокове, за да подтикне компаниите към преговори с хакерската група.

KrebsOnSecurity цитира два източника, според които разследващите смятат, че ръководен кадър в голяма американска консултантска фирма активно е помагал за поддръжката на Shinywire. Изданието спести самоличността на въпросното лице и името на компанията, тъй като все още няма повдигнати обвинения. Фирмата е описана като дружество с над 1000 служители в консултантския си бизнес.

Арестът на Дубровски представлява друга част от разследването. Както бе отразено в по-ранен доклад на Cybersecurity News, срещу него са отправени обвинения за заговор за заплаха с разкриване на поверителна информация с цел финансова облага и възпрепятстване на търговията чрез заплахи. Засекретената жалба ограничава публичния достъп до действията, които прокурорите приписват на канадския мениджър.

В публичния регистър на съда са вписани неговият арест и последващото му прехвърляне към Източния окръг на Тексас. Документите показват също, че са му назначени служебни защитници и е постановено задържане под стража в очакване на изслушване в окръга, повдигнал обвиненията. Тези процесуални записи не доказват вина, нито разкриват пълния набор от доказателства зад обвиненията срещу него.

Съобщава се, че разследващите са стигнали до следи, след като холандската полиция е арестувала заподозрения член на ShinyHunters Пепейн ван дер Стап през септември. Източници споделиха пред KrebsOnSecurity, че служителите са получили достъп до скорошни разговори в Signal, докато той е бил вписан в профила си. Твърди се, че тези съобщения са разкрили чести контакти с Дубровски и с ръководител в неназованата американска фирма, която в момента е обект на проверка.

Според публикациите част от кореспонденцията предполага, че ръководните кадри са знаели подробности за нови жертви на ShinyHunters, преди самите организации да открият пробивите си. Друго обвинение е, че Дубровски е знаел за открадната чувствителна информация на ФБР още преди групата публично да заплаши с публикуването ѝ. Тези твърдения произтичат от източници, а не от публично разгледани съдебни доказателства.

Разследването придоби спешен характер, след като през септември ShinyHunters взе на прицел уебсайта за подбор на персонал на ФБР. Откраднатите данни според сведенията включват социалноосигурителни номера, домашни адреси, медицинска информация и подробности за назначенията на служители. Чувствителността на тези файлове увеличи залозите отвъд мащабите на стандартен корпоративен пробив и оказа допълнителен натиск върху разследващите, преследващи заподозрените лица.

ShinyHunters често крадат идентификационни данни чрез фишинг и използват компрометирани акаунти, за да извличат данни от облачни услуги. След това заплашват с публикуване, освен ако жертвите не платят. Това представлява изнудване на базата на открадната информация, което не изисква криптиране на компютрите на жертвата. Според KrebsOnSecurity ФБР приписва на групата над 70 милиона долара плащания през 2026 г.

Случаят подчертава и рисковете от доверяването на обещания за изтриване на откраднати записи. При пробива и последвалото изнудване на PowerSchool плащането на приблизително 2,85 милиона долара не предотврати по-късни искания, насочени към засегнатите училищни райони. Последващите опити използваха информация от същия пробив, демонстрирайки как откраднатите записи могат да останат постоянен източник на натиск.

KrebsOnSecurity докладва и за опасения относно преговарящи, чиито хонорари нарастват пропорционално с размера на крайно платения откуп. Главният изпълнителен директор на CyberAcuView Марк Камило заяви, че подобна договореност поражда конфликт на интереси, тъй като консултантът печели от по-голямо плащане. Той призова за по-голяма прозрачност около таксите, разходите за криптовалута и финансовите интереси, свързани с уреждането на финансовите претенции.

В предупреждението на ФБР от 15 май относно ShinyHunters се посочва, че атакуващите могат да комбинират открадната информация със заплашителни съобщения, телефонни обаждания и тормоз. В него се препоръчва на лицата, с които е установен пряк контакт, да не плащат и да не отговарят на исканията. Бюрото също така призова жертвите да запазят комуникацията и да докладват за подозрителна дейност чрез IC3 или регионален офис на ФБР.

Засега твърденията относно уебсайта остават отразени в медиите констатации от разследване, включващо неназован ръководител, докато Дубровски е изправен пред отделно наказателно производство. Никое от тях не бива да се представя като влязла в сила присъда. Ще бъдат необходими официални съдебни документи и допълнителни доказателства, за да се установи кой е помагал на ShinyHunters, какви са били конкретните действия и дали са нарушили закона.