Un presupus administrator al grupării de extorcare ShinyHunters, cunoscut online sub numele de "Rey", a fost reținut în Iordania și, potrivit informațiilor disponibile, cooperează acum cu FBI pentru a ajuta la identificarea altor membri ai grupării.
Ce s-a întâmplat
Potrivit mai multor surse familiare cu situația, persoana în cauză — cunoscută și sub pseudonimul ReyXBF — a fost reținută în Iordania la finalul lunii septembrie 2026 și ar colabora în prezent cu anchetatorii federali americani. Suspectul a mai fost asociat anterior cu roluri în cadrul mai multor operațiuni de extorcare de profil, inclusiv administrarea site-ului de leak al unei grupări de ransomware în 2024 și, ulterior, conducerea uneia dintre cele mai cunoscute piețe de date furate. Cercetători independenți au legat acest pseudonim și de o alianță mai largă care reunește mai multe grupări cunoscute, axate pe extorcare, iar suspectul ar fi cooperat discret cu autoritățile încă din vara anului 2025.
Reținerea survine la o săptămână după arestarea unei alte persoane legate de aceeași rețea — potrivit informațiilor, un specialist în securitate cu un trecut în domeniul hacking-ului, care a negat ulterior orice implicare actuală în grupare.
Oficialii americani au vorbit deschis despre impulsul anchetei. FBI a precizat că sunt așteptate noi arestări pe măsură ce sunt urmărite pistele deschise de reținerile recente, iar un oficial de rang înalt al agenției a detaliat impactul rețelei: peste 140 de organizații compromise și cel puțin 70 de milioane de dolari obținuți din extorcare doar în ultimul an, în mare parte prin compromiterea unor furnizori terți găzduiți pe platforme cloud.
De ce contează
Grupările de extorcare de acest tip nu depind de un singur lider — ele funcționează ca un lanț de aprovizionare modular și descentralizat, în care inginerii sociali obțin accesul inițial, alți actori se ocupă de amplificare și recrutare, iar o altă categorie gestionează monetizarea. Tocmai de aceea arestările, de sine stătătoare, rareori opresc o astfel de grupare — aceasta a supraviețuit ani de zile unor puneri sub acuzare, rețineri și închideri de forumuri fără să dispară complet.
Pentru organizații, vestea importantă nu este "un hacker a fost prins", ci faptul că platformele cloud ale furnizorilor terți rămân principalul punct de intrare folosit de acest ecosistem, iar cooperarea membrilor reținuți poate expune infrastructură, unelte și relații de parteneriat rămase până acum ascunse, accelerând potențial acțiunile împotriva celor care încă operează.
Ce trebuie făcut
- Auditați integrările cu furnizori terți și servicii SaaS. Grupările legate de această rețea au vizat în mod repetat platforme cloud și integrări cu furnizori, nu atacuri directe asupra victimelor — verificați ce furnizori terți au acces la datele voastre și restrângeți permisiunile.
- Porniți de la premisa reutilizării de credențiale și sesiuni. Revizuiți politicile de acces condiționat, rotiți token-urile API folosite pentru integrările cloud și impuneți MFA peste tot unde un furnizor terț are acces la date sensibile.
- Fiți atenți la tentative de extorcare care menționează date furate, chiar și în absența unei notificări anterioare de breșă — grupările din acest ecosistem sunt cunoscute pentru presiunea exercitată direct asupra victimelor înainte de orice publicare.
- Monitorizați fluxurile de threat intelligence pentru indicatori legați de această rețea pe măsură ce presiunea autorităților crește — suspecții care cooperează declanșează adesea schimbări rapide de infrastructură în rândul celor rămași.