联邦调查人员怀疑勒索谈判者运营ShinyHunters勒索网站

要点

联邦调查人员已确认两家勒索谈判公司的高管是运营ShinyHunters勒索网站 shinywire.com 的关键参与者，这暴露了直接的利益冲突，帮助该组织今年勒索了超过7000万美元。

---

ShinyHunters近期的升级行动

• ShinyHunters是一个自2019年以来活跃的黑客组织，于2026年9月从 fbijobs.gov 窃取了敏感的FBI人事数据，促使FBI迅速实施逮捕。
• 该组织的头目，一位来自约旦安曼的青少年黑客 Rey，在早期成员被捕后接管了控制权。
• 荷兰警方于2026年9月15日逮捕了涉嫌成员 Pepijn van der Stap，当时他正登录Signal，警方使用了闪光弹。他的消息显示他与美国和加拿大的勒索谈判者频繁联系。
• FBI还于10月9日逮捕了加拿大网络安全高管 Edward Dubrovsky（54岁），指控他威胁披露被盗数据并干扰州际商业。

“Van der Stap的Signal消息显示，他与Dubrovsky先生以及至少一家大型美国咨询公司的高管频繁交谈，这些高管往往在受害者自己得知泄露之前就已经知道了ShinyHunters新受害者的详细信息。” – 接近调查的消息来源

Shinywire勒索网站

• shinywire.com 于2026年5月3日至10月16日运营，列出了近100家受损组织并要求支付赎金。
• 每个条目都展示了被盗文件样本，并警告拒绝将导致在仅限Tor的受害者羞辱博客上公布。
• 该网站由一家拥有超过1000名员工的知名美国咨询公司的高管托管，尽管该公司未被起诉。
• 示例：一个缓存页面针对 Intuitive Surgical，显示了典型的勒索要求和样本数据。

勒索谈判中的利益冲突

• 谈判公司通常收取 赎金支付金额的一定比例费用，这产生了推动受害者付款的经济激励。
• CyberAcuView 的首席执行官 Mark Camillo 警告说，从付款中获利的谈判者存在不当激励，可能抬高赎金金额。
• 司法部最近起诉了谈判者的欺诈和共谋行为，包括：
  • Zohar Pinhasi，MonsterCloud的首席执行官，被指控电汇欺诈，向客户多收费同时秘密支付给勒索组织。
  • Angelo Martino，因与BlackCat/ALPHV组织合谋向攻击者提供受害者策略而被判刑。

直接合作的证据

• Van der Stap的Signal日志显示，Dubrovsky知晓FBI泄露事件，但在ShinyHunters威胁在X/Twitter上公布数据之前未能提醒该机构。
• Dubrovsky自己的法庭文件声称他是与前合伙人 Daniel Tobok（来自 Cypfer，一家后来被 Apros Group 收购的公司）商业纠纷的受害者。
• 调查的另一条线索将Tobok与昵称 “Ghostbyte” 联系起来，该昵称出现在2018年Dharma勒索软件电子邮件中，建议受害者联系 ghostbyte@tutanota.com。

“如果你想要保证，你可以写信给IT公司……” – Dharma勒索软件回复，提及ghostbyte@tutanota.com

行业反应和持续风险

• 像 PowerSchool 这样的受害者在ShinyHunters泄露后支付了285万美元，但被盗数据仍被用于二次勒索尝试。
• 网络事件响应公司 Coveware 和 Unit 221B 已公开警告不要向ShinyHunters付款，理由是证据表明该组织保留并转售数据。
• FBI在2026年5月15日的警报中建议组织不要向ShinyHunters付款，但该组织通过在Telegram上骚扰Coveware员工进行报复。

安全领导者的关键要点

1. 谈判者的参与可能为勒索组织提供直接渠道 – Shinywire案例表明谈判者可能帮助托管和宣传赎金要求。
2. 依赖赎金规模的费用结构是利益冲突 – 监管机构和保险公司应要求透明的固定费用模式。
3. 执法部门可以利用实时消息元数据 – 荷兰的闪光弹逮捕和Signal拦截在揭露共谋中起到了关键作用。
4. Tor上的受害者羞辱博客加剧了压力 – 即使付款后，被盗数据也可能被重新发布，这强调了在赎金之外进行数据修复的必要性。

---

所有信息均来自Krebs on Security的调查以及公开的法院、新闻和情报来源。没有捏造任何细节。