Secondo quanto riferito, investigatori federali statunitensi sospettano che dirigenti legati a società di negoziazione con i ransomware avessero rapporti insolitamente stretti con ShinyHunters e che un dirigente di una grande società di consulenza statunitense abbia contribuito a gestire il sito di estorsione del gruppo.
Le affermazioni provengono da un'indagine di KrebsOnSecurity, basata in gran parte su fonti anonime, documenti giudiziari e articoli già pubblicati. Il dirigente della società di consulenza non nominato non è stato incriminato, secondo il report.
Il secondo nome è quello di Edward Dubrovsky, dirigente canadese della cybersecurity, imputato per aver minacciato la divulgazione di dati rubati e per aver interferito con il commercio interstatale attraverso l'estorsione. KrebsOnSecurity ha riferito del suo arresto il 9 ottobre. Il presunto legame tra il caso di Dubrovsky e ShinyHunters proviene dalle fonti della testata, non dalle accuse pubblicamente descritte.
Shinywire agiva come piattaforma di pressione sui pagamenti
Il legame operativo contestato ruota attorno a shinywire[.]com, un sito di estorsione che Krebs dice essere diventato attivo intorno al 3 maggio 2026. Il dominio risultava non più operativo entro il 16 ottobre.
Il sito conteneva le voci di quasi 100 organizzazioni che ShinyHunters diceva di aver compromesso. Ogni pagina cercava di portare l'organizzazione a trattare il pagamento, mostrando campioni di file presumibilmente rubati e minacciando la pubblicazione se la richiesta fosse stata ignorata.
Secondo quanto riferito, le organizzazioni che non avevano risposto entro sette giorni venivano spostate su un sito separato di ShinyHunters, dedicato alla gogna delle vittime e accessibile tramite Tor. Le quasi 100 voci rappresentano organizzazioni indicate dagli attaccanti, non un conteggio confermato di intrusioni riuscite o di persone coinvolte.
Una delle aziende elencate era Intuitive Surgical. Secondo il report, la società statunitense di tecnologie medicali è stata violata nel marzo 2026, dopo che un messaggio di phishing mirato ha compromesso le credenziali di un dipendente. Questo episodio descrive un punto d'ingresso e non va considerato il metodo usato contro ogni organizzazione presente nel sito.
Due fonti anonime hanno detto a Krebs che gli investigatori dell'FBI ritengono che almeno un dirigente di una società di consulenza statunitense con più di 1.000 collaboratori abbia attivamente contribuito a gestire Shinywire. Né la società né il dirigente sospettato sono stati identificati.
I messaggi Signal avrebbero ampliato l'indagine
Le autorità olandesi hanno arrestato Pepijn van der Stap, hacker già condannato e presunto partecipante a ShinyHunters, la sera del 15 settembre 2026. Secondo quanto riferito, la polizia ha usato granate stordenti mentre lui era collegato ad account online.
Una fonte anonima ha detto che Van der Stap stava usando Signal in quel momento, il che avrebbe permesso agli investigatori di leggere le conversazioni recenti con i contatti più frequenti. Tra questi, secondo quanto riferito, figuravano negoziatori di riscatti in Canada e Stati Uniti.
Secondo la descrizione dei messaggi fornita dalla fonte, Van der Stap comunicava regolarmente con Dubrovsky e con almeno un dirigente di una grande società di consulenza statunitense. Secondo quanto riferito, i dirigenti a volte sapevano di nuovi obiettivi compromessi da ShinyHunters prima che le stesse organizzazioni se ne accorgessero.
La stessa fonte sostiene che Dubrovsky sapeva che ShinyHunters si era procurato informazioni sensibili dell'FBI, ma non ha avvertito l'agenzia prima che il gruppo minacciasse di pubblicarle su Twitter/X.
Alla fine di settembre, secondo quanto riferito, ShinyHunters ha violato fbijobs.gov, il sito di reclutamento dell'FBI. Il gruppo dice di essere in possesso di cartelle cliniche e psicologiche, numeri di Social Security, indirizzi di casa e informazioni sulle unità e sulle specializzazioni dei dipendenti. Il contenuto dichiarato non basta, di per sé, a stabilire la portata complessiva di un eventuale furto.
Dubrovsky deve rispondere di accuse legate all'estorsione
Dubrovsky, 54 anni, è accusato di aver minacciato di diffondere informazioni rubate o sottratte illecitamente e di aver interferito con il commercio interstatale attraverso l'estorsione, secondo i documenti giudiziari descritti da Krebs. Secondo quanto riferito, i pubblici ministeri hanno chiesto che resti in custodia in attesa del processo. Gli atti sono sigillati e non risulta alcuna condanna.
In precedenza Dubrovsky è stato socio amministratore e chief operating officer di Cypfer, con sede a Toronto. Il 14 ottobre Cypfer ha dichiarato di essere venuta a conoscenza dell'arresto attraverso i media e di non esserne stata informata in anticipo. L'azienda ha inoltre affermato che le forze dell'ordine non l'avevano contattata e che, per quanto ne sa, non è un obiettivo dell'indagine.
Cypfer ha precisato che la sua attività non comprende l'esecuzione o la facilitazione di pagamenti di riscatti. Ha inoltre affermato che Cypfer e CyberSteward Inc., società legata a una distinta controversia commerciale che coinvolge Dubrovsky, non condividono alcun dirigente, amministratore o dipendente.
Si tratta di dichiarazioni delle aziende. Non chiariscono le accuse basate su fonti anonime riguardanti Dubrovsky né quelle sul dirigente statunitense non identificato.
Il rischio immediato non è una vulnerabilità del software
Le accuse descrivono un possibile problema interno e di catena di fornitura nei servizi di risposta agli attacchi ransomware, più che un difetto tecnico che le organizzazioni possano correggere con una patch. Come contesto generale, il Dipartimento di Giustizia ha affermato, in un caso separato legato a BlackCat, che il negoziatore di riscatti Angelo Martino ha fornito agli attaccanti informazioni riservate sulle posizioni e sulle strategie negoziali dei clienti, consentendo loro di massimizzare i pagamenti del riscatto. Il report su ShinyHunters non stabilisce che le stesse informazioni siano state divulgate in questa campagna.
Come misura generale di controllo del rischio, le organizzazioni che ricorrono a questi fornitori dovrebbero limitare l'accesso alla strategia negoziale e conservare registrazioni che mostrino chi ha visto o condiviso materiale sensibile sui casi.
Secondo quanto riferito, Coveware e Unit 221B sconsigliano alle vittime di pagare ShinyHunters, perché le informazioni rubate potrebbero comunque essere conservate, vendute o usate in un altro tentativo di estorsione. Una promessa di pagamento o di cancellazione non va quindi considerata una prova che i dati esposti siano stati distrutti.
