ShinyHunters: negociator de răscumpărări arestat în SUA

Ancheta FBI privind ShinyHunters, grupul care în septembrie a furat date despre personalul FBI printr-un sistem Oracle PeopleSoft neactualizat, a dus la o a treia arestare. De data aceasta nu este vorba de un tânăr infractor cibernetic, ci de un profesionist din domeniu: un director canadian specializat tocmai în negocierea răscumpărărilor în numele victimelor.

Ce s-a întâmplat

Pe 8 octombrie 2026, un cetățean canadian a fost arestat în Philadelphia, Pennsylvania, unde participa la o conferință despre riscul cibernetic și asigurări. Pe 9 octombrie, directorul FBI, Kash Patel, a anunțat pe X arestarea „unui alt presupus complice” al ShinyHunters, fără să-i dea numele, și a amintit că incidentul FBIJobs.gov a avut loc pe o platformă gestionată de un furnizor terț.

The New York Times a relatat primul că persoana arestată este un canadian reținut în Pennsylvania. Politico, KrebsOnSecurity și Reuters îl identifică drept Edward Dubrovsky, 54 de ani, cu sediul la Toronto. Documentele instanței îi scriu numele în moduri diferite (Dobrovsky, Dobrosky) și, potrivit KrebsOnSecurity, nu indică încă un avocat. Potrivit SecurityWeek, poliția federală canadiană (RCMP) a confirmat pentru CBS News că are cunoștință de arestarea unui canadian în legătură cu ShinyHunters.

Profilul descris de presă este cel al unui expert în răspunsul la extorcări:

• cofondator al CYPFER, companie canadiană care asistă victimele ransomware; CyberScoop îl prezintă drept fost director de operațiuni, Infosecurity Magazine drept fost managing director;
• asociat cu CyberSteward, companie din Toronto specializată în negocieri cu extorcatorii; potrivit Politico, este o denumire comercială folosită de CYPFER;
• autorul unei cărți despre răspunsul strategic la extorcarea cibernetică, apărută luna trecută.

FBI nu a confirmat că Dubrovsky este complicele la care s-a referit Patel. Plângerea principală este sigilată: nu se știe ce i se impută concret și nici dacă dosarul privește atacul asupra FBI. Nici Dubrovsky, nici CYPFER nu au răspuns solicitărilor de comentarii. Până la o hotărâre definitivă se aplică prezumția de nevinovăție.

Acuzațiile și procedura

Registrul dosarului, citat de BleepingComputer, cuprinde două capete de acuzare:

• 18 U.S.C. § 371 și § 1030(a)(7)(B): conspirație pentru a amenința cu compromiterea confidențialității informațiilor în scopul extorcării de bani, prevederea federală privind frauda informatică ce pedepsește amenințările legate de datele furate;
• 18 U.S.C. § 1951(a) și (b)(2): extorcare și conspirație la extorcare care afectează comerțul (Hobbs Act).

După înfățișarea în fața instanței din districtul de est al Pennsylvaniei, o ordonanță din 9 octombrie a transferat dosarul în districtul de est al Texasului, unde au fost depuse acuzațiile și unde, potrivit surselor KrebsOnSecurity, se concentrează ancheta FBI privind ShinyHunters. Dubrovsky rămâne în custodie până la audierea privind detenția.

Tabloul anchetei

Față de ce se știa deja, sursele adaugă câteva elemente:

• A treia arestare: după cea din Țările de Jos din 15 septembrie și reținerea din Iordania de la sfârșitul lui septembrie (un minor care cooperează cu FBI), este prima din Statele Unite.
• Alți negociatori: potrivit surselor KrebsOnSecurity, preluate de SecurityWeek și Security Affairs, și directori ai altor firme de negociere a răscumpărărilor ar putea fi puși sub acuzare.
• Amploare: potrivit FBI, citat de BleepingComputer, ShinyHunters și actorii asociați au compromis peste 140 de organizații și au încasat peste 70 de milioane de dolari într-un an.
• Mișcare laterală: doar Infosecurity Magazine relatează că, după intrarea prin PeopleSoft, grupul s-a mutat pe serverele AWS GovCloud ale FBI și a extras 2–3 TB de date. Nicio altă sursă nu confirmă informația.
• Infrastructură: potrivit SecurityWeek, site-ul grupului din rețeaua Tor nu mai este accesibil; potrivit The Register, sunt offline și canalele de contact, deși grupul anunță revenirea site-ului. The Register amintește și că ShinyHunters este acum mai degrabă o marcă decât un grup închis: arestările nu îi opresc neapărat activitatea.

De ce contează pentru companiile europene și italiene

Fără să știm ce susține acuzarea, cazul atinge un punct delicat al răspunsului la incidente: cine negociază cu extorcatorii în numele victimei vede totul. Date furate, comunicări interne, acoperiri de asigurare, capacitatea de plată. Firmele de răspuns la incidente și de negociere sunt furnizori cu acces privilegiat, chemați în momentul de maximă presiune și adesea aleși în grabă.

Pentru entitățile care intră sub incidența NIS2 (în Italia, Decretul legislativ 138/2024), securitatea lanțului de aprovizionare include și acești furnizori. Dacă primesc date personale, sunt necesare un contract conform articolului 28 din GDPR și controale adecvate, ca pentru orice altă persoană împuternicită de operator. În sănătate, unde datele furate sunt adesea categorii speciale, riscul este și mai mare.

Ce să faci imediat

1. Alege din timp furnizorii de răspuns: identifică dinainte firmele de răspuns la incidente și de negociere, verificând proprietatea, referințele și personalul, chiar și atunci când ți le propune asigurătorul.
2. Pune regulile în contract: confidențialitate, contract GDPR, niciun contact cu atacatorii fără aprobarea ta și o copie integrală a fiecărui mesaj schimbat.
3. Limitează accesul extern: conturi nominale și temporare, autentificare multifactor, jurnalizarea activității și revocare la finalul intervenției.
4. Păstrează tu controlul canalului cu extorcatorul: comunicările trebuie să treacă și prin consilierul juridic și responsabilul de securitate, niciodată printr-un singur actor extern. Implică autoritățile și, dacă intri sub incidența NIS2, notifică CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN).
5. Verifică revendicările cu datele tale: compară ce afirmă extorcatorii cu jurnalele de acces și volumele de date ieșite. Revendicările pot fi umflate pentru a crește suma cerută.
6. Nu lăsa garda jos: site-ul grupului este oprit, dar marca rămâne activă. Păstrează măsurile din articolul anterior, începând cu actualizările PeopleSoft și autentificarea multifactor pe platformele SaaS.

Cum ajută ARXDOME

ARX Sentry colectează jurnalele de pe computere, servere și firewall-uri, utile pentru a ști cine a accesat ce și când, inclusiv conturile furnizorilor externi. ARX Trace reconstituie faptele cu dovezile colectate de sonde, ca să verifici revendicările extorcatorilor în loc să te încrezi în cuvântul lor. ARX Retain păstrează jurnalele pe stocare europeană cu blocarea obiectelor și legal hold și ți le pune la dispoziție când ai nevoie de ele pentru o anchetă sau un audit.

Ultima actualizare: 12 octombrie 2026