US-Bundesermittler sollen den Verdacht hegen, dass Führungskräfte von Ransomware-Verhandlungsfirmen ungewöhnlich enge Beziehungen zu ShinyHunters unterhielten. Außerdem soll eine Führungskraft eines großen US-Beratungsunternehmens bei der Erpressungswebsite der Gruppe mitgeholfen haben.
Die Vorwürfe stammen aus einer Recherche von KrebsOnSecurity, die sich größtenteils auf anonyme Quellen, Gerichtsunterlagen und zuvor veröffentlichte Berichte stützt. Der nicht namentlich genannten Führungskraft des Beratungsunternehmens wurde laut dem Bericht bislang keine Anklage erhoben.
Eine zweite Person, der kanadische Cybersicherheitsmanager Edward Dubrovsky, ist angeklagt. Die Vorwürfe betreffen die Drohung, gestohlene Daten offenzulegen, sowie die Behinderung des zwischenstaatlichen Handels durch Erpressung. KrebsOnSecurity berichtete am 9. Oktober über seine Festnahme. Die berichtete Verbindung zwischen Dubrovskys Fall und ShinyHunters stammt aus den Quellen der Publikation und nicht aus den öffentlich beschriebenen Anklagepunkten.
Shinywire fungierte als Plattform für Zahlungsdruck
Der umstrittene operative Zusammenhang dreht sich um shinywire[.]com, eine Erpressungsseite, die laut Krebs etwa am 3. Mai 2026 aktiv wurde. Bis zum 16. Oktober war die Domain nicht mehr erreichbar.
Die Seite enthielt Einträge zu knapp 100 Organisationen, die ShinyHunters angeblich kompromittiert hatte. Auf jeder Seite sollte die betroffene Organisation zu Zahlungsverhandlungen gedrängt werden. Dazu wurden Muster angeblich gestohlener Dateien angezeigt und mit einer Veröffentlichung gedroht, falls die Forderung ignoriert wurde.
Organisationen, die innerhalb von sieben Tagen nicht reagierten, sollen auf eine separate Seite zur Bloßstellung von Opfern verschoben worden sein, die ShinyHunters betrieb und die über Tor erreichbar ist. Die knapp 100 Einträge stehen für Organisationen, die die Angreifer genannt haben. Sie sind keine bestätigte Zahl erfolgreicher Einbrüche oder betroffener Personen.
Zu den aufgeführten Unternehmen gehörte Intuitive Surgical. Laut dem Bericht wurde das US-Medizintechnikunternehmen im März 2026 Opfer eines Einbruchs, nachdem eine gezielte Phishing-Nachricht die Zugangsdaten eines Mitarbeiters kompromittiert hatte. Dieser Vorfall beschreibt einen Einstiegspunkt. Er sollte nicht als Methode gelten, die gegen jede Organisation auf der Seite angewandt wurde.
Zwei anonyme Quellen sagten Krebs, FBI-Ermittler gingen davon aus, dass mindestens eine Führungskraft eines US-Beratungsunternehmens mit mehr als 1.000 Mitarbeitenden aktiv bei der Leitung von Shinywire geholfen habe. Weder das Unternehmen noch die mutmaßliche Führungskraft wurden genannt.
Signal-Nachrichten sollen die Ermittlungen ausgeweitet haben
Niederländische Behörden nahmen Pepijn van der Stap fest, einen verurteilten Hacker und mutmaßlichen Teilnehmer von ShinyHunters, und zwar am Abend des 15. September 2026. Die Polizei soll Blendgranaten eingesetzt haben, während er in Online-Konten eingeloggt war.
Eine anonyme Quelle sagte, Van der Stap habe damals Signal genutzt. Dadurch hätten die Ermittler aktuelle Gespräche mit häufigen Kontakten lesen können. Zu diesen Kontakten sollen Ransomware-Verhandler in Kanada und den USA gehört haben.
Nach der Beschreibung der Quelle stand Van der Stap regelmäßig mit Dubrovsky und mindestens einer Führungskraft eines großen US-Beratungsunternehmens in Kontakt. Die Führungskräfte sollen manchmal schon von neu kompromittierten Zielen von ShinyHunters gewusst haben, bevor die betroffenen Organisationen selbst davon erfuhren.
Dieselbe Quelle behauptete außerdem, Dubrovsky habe gewusst, dass ShinyHunters sensible FBI-Informationen erbeutet hatte. Er habe das Bureau jedoch nicht gewarnt, bevor die Gruppe mit einer Veröffentlichung auf Twitter/X drohte.
Ende September soll ShinyHunters die Rekrutierungswebsite des FBI, fbijobs.gov, kompromittiert haben. Die Gruppe behauptet, medizinische und psychologische Unterlagen, Sozialversicherungsnummern, Privatadressen sowie Informationen über die Einheiten und Spezialisierungen von Mitarbeitenden zu besitzen. Diese Angaben allein belegen jedoch nicht den tatsächlichen Umfang eines Diebstahls.
Dubrovsky sieht sich Anklagen wegen Erpressung gegenüber
Dubrovsky, 54, ist laut Gerichtsunterlagen, die Krebs beschreibt, angeklagt. Ihm wird vorgeworfen, mit der Veröffentlichung gestohlener oder gehackter Informationen gedroht und durch Erpressung den zwischenstaatlichen Handel behindert zu haben. Die Staatsanwaltschaft soll beantragt haben, dass er bis zum Prozess in Haft bleibt. Die Akten sind versiegelt, eine Verurteilung wurde nicht gemeldet.
Dubrovsky war zuvor geschäftsführender Partner und Chief Operating Officer des in Toronto ansässigen Unternehmens Cypfer. Am 14. Oktober erklärte Cypfer, es habe von seiner Festnahme erst über die Medienberichterstattung erfahren und vorab keine Kenntnis davon gehabt. Außerdem teilte das Unternehmen mit, Strafverfolgungsbehörden hätten sich nicht an es gewandt. Nach eigenem Kenntnisstand sei es auch kein Ermittlungsziel.
Cypfer erklärte, sein Geschäft umfasse nicht die Abwicklung oder Erleichterung von Ransomware-Zahlungen. Außerdem teilte das Unternehmen mit, Cypfer und CyberSteward Inc. – eine Firma, die mit einem separaten geschäftlichen Streit mit Dubrovsky in Verbindung steht – hätten keine Führungskräfte, Aufsichtsratsmitglieder oder Angestellten gemeinsam.
Dabei handelt es sich um Unternehmensaussagen. Sie klären weder die anonymen Vorwürfe gegen Dubrovsky noch die Vorwürfe gegen die nicht identifizierte US-Führungskraft.
Das unmittelbare Risiko ist keine Software-Schwachstelle
Die Vorwürfe beschreiben ein mögliches Insider- und Lieferkettenproblem bei Diensten zur Reaktion auf Ransomware. Eine technische Schwachstelle, die Organisationen mit einem Patch beheben könnten, ist es nicht. Als allgemeiner Hintergrund: Das US-Justizministerium erklärte in einem separaten Fall rund um BlackCat, der Ransomware-Verhandler Angelo Martino habe Angreifern vertrauliche Informationen über die Verhandlungspositionen und Strategien von Kunden geliefert. Dadurch hätten diese die Lösegeldzahlungen maximieren können. Der Bericht über ShinyHunters belegt nicht, dass in dieser Kampagne dieselben Informationen weitergegeben wurden.
Als allgemeine Maßnahme zur Risikokontrolle sollten Organisationen, die solche Dienstleister beauftragen, den Zugriff auf Verhandlungsstrategien begrenzen. Außerdem sollten sie Protokolle führen, aus denen hervorgeht, wer sensibles Fallmaterial eingesehen oder weitergegeben hat.
Coveware und Unit 221B raten Betroffenen laut Berichten davon ab, ShinyHunters zu bezahlen. Gestohlene Informationen könnten weiterhin gespeichert, verkauft oder bei einem weiteren Erpressungsversuch verwendet werden. Ein Zahlungs- oder Löschversprechen sollte daher nicht als Beleg dafür gelten, dass die offengelegten Daten vernichtet wurden.
