ShinyHunters: arrestato negli USA un negoziatore di riscatti

L’indagine dell’FBI su ShinyHunters, il gruppo che a settembre ha sottratto dati sul personale dell’FBI passando da un sistema Oracle PeopleSoft non aggiornato, ha portato a un terzo arresto. Questa volta non si tratta di un giovane criminale informatico, ma di un professionista del settore: un dirigente canadese specializzato proprio nel negoziare i riscatti per conto delle vittime.

Cosa è successo

L’8 ottobre 2026 un cittadino canadese è stato arrestato a Philadelphia, in Pennsylvania, dove partecipava a una conferenza sul rischio cyber e sulle assicurazioni. Il 9 ottobre il direttore dell’FBI, Kash Patel, ha annunciato su X l’arresto di «un altro presunto complice» di ShinyHunters, senza fare nomi, e ha ricordato che l’incidente di FBIJobs.gov è avvenuto su una piattaforma gestita da un fornitore terzo.

Il New York Times ha riferito per primo che l’arrestato è un canadese fermato in Pennsylvania. Politico, KrebsOnSecurity e Reuters lo identificano in Edward Dubrovsky, 54 anni, con sede a Toronto. Gli atti giudiziari riportano il cognome in grafie diverse (Dobrovsky, Dobrosky) e, secondo KrebsOnSecurity, non indicano ancora un avvocato. Secondo SecurityWeek, la polizia federale canadese (RCMP) ha confermato a CBS News di essere a conoscenza dell’arresto di un canadese legato a ShinyHunters.

Il profilo descritto dalle testate è quello di un esperto di risposta alle estorsioni:

• cofondatore di CYPFER, società canadese che assiste le vittime di ransomware; CyberScoop lo indica come ex direttore operativo, Infosecurity Magazine come ex managing director;
• legato a CyberSteward, società di Toronto specializzata nelle trattative con gli estorsori; secondo Politico è un marchio commerciale di CYPFER;
• autore di un libro sulla risposta strategica alle estorsioni informatiche, uscito il mese scorso.

L’FBI non ha confermato che Dubrovsky sia il complice citato da Patel. La denuncia principale è secretata: non si sa che cosa gli venga contestato in concreto né se il caso riguardi l’attacco all’FBI. Né Dubrovsky né CYPFER hanno risposto alle richieste di commento. Fino a una sentenza vale la presunzione di innocenza.

Le accuse e il procedimento

Il registro del caso, citato da BleepingComputer, elenca due capi:

• 18 U.S.C. § 371 e § 1030(a)(7)(B): associazione per minacciare di compromettere la riservatezza di informazioni allo scopo di estorcere denaro, la norma federale sulle frodi informatiche che punisce le minacce sui dati sottratti;
• 18 U.S.C. § 1951(a) e (b)(2): estorsione e associazione per estorsione ai danni del commercio (Hobbs Act).

Dopo la comparizione davanti al tribunale del distretto orientale della Pennsylvania, un’ordinanza del 9 ottobre ha trasferito il caso al distretto orientale del Texas, dove le accuse sono state depositate e dove, secondo fonti di KrebsOnSecurity, si concentra l’indagine dell’FBI su ShinyHunters. Dubrovsky resta in custodia in attesa dell’udienza sulla detenzione.

Il quadro dell’indagine

Rispetto a quanto già noto, le fonti aggiungono alcuni elementi:

• Terzo arresto: dopo il fermo nei Paesi Bassi del 15 settembre e quello in Giordania di fine settembre (un minorenne che collabora con l’FBI), è il primo avvenuto negli Stati Uniti.
• Altri negoziatori: secondo fonti di KrebsOnSecurity, riprese da SecurityWeek e Security Affairs, anche dirigenti di altre società di negoziazione dei riscatti potrebbero essere incriminati.
• Dimensioni: secondo l’FBI, citata da BleepingComputer, ShinyHunters e gli attori collegati hanno violato oltre 140 organizzazioni e incassato più di 70 milioni di dollari in un anno.
• Movimento laterale: solo Infosecurity Magazine riporta che, dopo l’ingresso da PeopleSoft, il gruppo si è spostato sui server AWS GovCloud dell’FBI e ha estratto 2–3 TB di dati. Il dato non è confermato da altre fonti.
• Infrastruttura: secondo SecurityWeek il sito del gruppo sulla rete Tor non è più raggiungibile; secondo The Register sono fuori linea anche i canali usati per i contatti, ma il gruppo annuncia il ritorno del sito. The Register ricorda anche che ShinyHunters è ormai più un marchio che un gruppo chiuso: gli arresti non ne fermano necessariamente l’attività.

Perché riguarda le aziende europee e italiane

Senza sapere che cosa contesti l’accusa, il caso tocca un punto delicato della risposta agli incidenti: chi tratta con gli estorsori per conto della vittima vede tutto. Dati sottratti, comunicazioni interne, coperture assicurative, capacità di pagamento. Le società di risposta agli incidenti e di negoziazione sono fornitori con accessi privilegiati, chiamati nel momento di massima pressione e spesso scelti in fretta.

Per i soggetti NIS2 (in Italia il D.Lgs. 138/2024) la sicurezza della catena di fornitura comprende anche questi fornitori. Se ricevono dati personali, servono un accordo ai sensi dell’articolo 28 del GDPR e controlli adeguati, come per qualsiasi altro responsabile del trattamento. Nella sanità, dove i dati sottratti sono spesso categorie particolari, il rischio è ancora più alto.

Cosa fare subito

1. Scegli prima i fornitori di risposta: individua in anticipo le società di risposta agli incidenti e di negoziazione, con verifiche su proprietà, referenze e personale, anche se proposte dall’assicurazione.
2. Metti le regole nel contratto: riservatezza, accordo GDPR, nessun contatto con gli attaccanti senza la tua approvazione e copia integrale di ogni messaggio scambiato.
3. Limita gli accessi esterni: account nominativi e temporanei, autenticazione a più fattori, registrazione delle attività e revoca a fine intervento.
4. Tieni tu il canale con l’estorsore: le comunicazioni devono passare anche dal legale e dal responsabile della sicurezza, mai da un unico soggetto esterno. Coinvolgi la Polizia Postale e, per i soggetti NIS2, notifica allo CSIRT Italia dell’ACN.
5. Verifica le rivendicazioni con i tuoi dati: confronta quanto dichiarato dagli estorsori con i log di accesso e i volumi in uscita. Le rivendicazioni possono essere gonfiate per alzare la richiesta.
6. Non abbassare la guardia: il sito del gruppo è spento, ma il marchio resta attivo. Mantieni le misure indicate nell’articolo precedente, a partire dagli aggiornamenti di PeopleSoft e dall’autenticazione a più fattori sulle piattaforme SaaS.

Come aiuta ARXDOME

ARX Sentry raccoglie i log di computer, server e firewall, utili per sapere chi ha avuto accesso e quando, compresi gli account dei fornitori esterni. ARX Trace ricostruisce i fatti con le prove raccolte dalle sonde, per verificare le rivendicazioni degli estorsori invece di fidarsi delle loro parole. ARX Retain conserva i log su storage europeo con blocco degli oggetti e legal hold, e li restituisce quando servono per un’indagine o un audit.

Ultimo aggiornamento: 12 ottobre 2026