ФБР подозревает переговорщика по кибервымогателям в связях с ShinyHunters
Федеральные следователи США, расследующие деятельность хакерской группы ShinyHunters, недавно похитившей данные сотрудников ФБР, выявили руководителей двух компаний по сопровождению ransom-переговоров, поддерживавших подозрительно тесные отношения с вымогателями. Один из них, по данным источников, помогал группировке управлять сайтом, который давил на жертв с требованиями выкупа. Инцидент затрагивает всю индустрию страхования киберрисков и переговорного консалтинга — рынок, которому жертвы атак доверяют миллионы долларов.
Подробности
В конце сентября группировка атаковала fbijobs.gov и принялась публично дразнить ведомство, угрожая обнародовать похищенные файлы — среди них, по сообщениям, медицинские и психологические данные, номера социального страхования, домашние адреса, а также сведения о подразделениях и специализации сотрудников. Этот инцидент заставил ФБР действовать с нехарактерной для бюрократической машины скоростью: задерживать и допрашивать всех, кто имел любые контакты с Реем или другими подозреваемыми. 3 октября Reuters сообщил, что Рей задержан иорданскими властями и сотрудничает со следствием. Управление группировкой Рей получил после задержания одного из ее предполагаемых старших участников. Вечером 15 сентября 2026 года власти Нидерландов арестовали осужденного хакера и подозреваемого по делу ShinyHunters Пепина ван дер Стапа — по данным полиции, с применением светошумовых гранат, пока он был авторизован в различных онлайн-аккаунтах. Источник, близкий к следствию, утверждает: арест застал ван дер Стапа в момент использования Signal, что позволило правоохранителям прочитать его недавнюю переписку — в том числе с переговорщиками по выкупам из Канады и США. Именно эти сообщения, по словам нескольких источников, стали ключом к раскрытию заказного убийства, всплывшего сразу после ареста; нидерландское издание RTL сообщало, что два убийства планировались за рубежом и есть признаки того, что приказ отдал ван дер Стап (данных о его исполнении нет). 9 октября KrebsOnSecurity сообщил об аресте 54-летнего канадского руководителя в сфере кибербезопасности Эдварда Дубровски в рамках расследования ShinyHunters. Дубровски незадолго до этого выпустил книгу о противодействии кибервымогательству, в которой рекомендовал всегда идти на контакт с хакерами; ему предъявлены обвинения в угрозах.Что делать
История показывает, что переговорный рынок не регулируется и не гарантирует лояльности: посредник может быть связан с атакующими. Компаниям стоит пересмотреть контракты с консультантами по инцидентам и переговорщиками — требовать раскрытия конфликта интересов, проверять репутацию и историю фирмы, фиксировать в договоре запрет на передачу данных третьим лицам. Не стоит соглашаться на схемы, где посредник «гарантирует» удаление украденных данных: таких гарантий не существует. При инциденте фиксируйте всю переписку с вымогателями самостоятельно, привлекайте правоохранительные органы и страховщика, а решения о выплате принимайте только после независимой оценки рисков. Если вы уже работали с переговорной фирмой, проверьте, не фигурирует ли она в публичных расследованиях. Итог: доверие к посредникам в ransom-переговорах теперь требует такой же проверки, как и к любым поставщикам безопасности, — а лучшая защита по-прежнему в предотвращении утечки и наличии проверенного плана реагирования.Источник: Krebs on Security