ShinyHunters: FBI verdächtigt Lösegeld-Verhandler

Bei den Ermittlungen gegen die Hackergruppe ShinyHunters geraten Fachleute in den Fokus, die Unternehmen bei Verhandlungen mit Erpressern beraten. Laut dem Sicherheitsjournalisten Brian Krebs gehen FBI-Ermittler davon aus, dass Führungskräfte zweier Firmen für Lösegeldverhandlungen mit der Gruppe zusammengearbeitet haben. Mindestens einer von ihnen, Manager eines US-Beratungsunternehmens mit mehr als 1.000 Beschäftigten, soll aktiv am Betrieb der Erpressungsseite Shinywire beteiligt gewesen sein. Angeklagt ist er bislang nicht.

Shinywire war von Mai bis Oktober 2026 online und listete knapp 100 Organisationen, die ShinyHunters angegriffen hatte. Die Einträge forderten die Opfer auf, Kontakt aufzunehmen, über Zahlungsbedingungen zu verhandeln und Lösegeld zu zahlen.

Kanadischer Manager angeklagt

Am 9. Oktober hatte das FBI die Festnahme eines 54-jährigen kanadischen Managers aus der Cybersicherheitsbranche bekanntgegeben, Edward Dubrovsky. Laut Gerichtsunterlagen wird ihm vorgeworfen, mit der Veröffentlichung gestohlener Daten gedroht und durch Erpressung den zwischenstaatlichen Handel beeinträchtigt zu haben. Er hatte zuvor ein Buch über den Umgang mit Cyber-Erpressung veröffentlicht, in dem er empfiehlt, stets mit den Angreifern zu kommunizieren. Laut den Ermittlern wusste er von dem Angriff auf das FBI, informierte die Behörde aber nicht, bevor ShinyHunters mit der Veröffentlichung der Daten drohte. Für ihn gilt die Unschuldsvermutung.

Spur über Signal-Chats

Ausgangspunkt der Ermittlungen war laut KrebsOnSecurity die Festnahme des niederländischen Verdächtigen Pepijn van der S. am 15. September in Amsterdam. Die Polizei verschaffte sich Zugang zu seinen Konten und las Signal-Nachrichten, in denen er mit Lösegeld-Verhandlern in Kanada und den USA kommunizierte. Laut einer Quelle von Krebs belegen die Nachrichten häufige Gespräche mit Dubrovsky und mindestens einem weiteren Manager.

„Diese Führungskräfte wussten häufig über neue Opfer von ShinyHunters Bescheid, bevor die Opfer selbst von dem Einbruch erfahren hatten.”
KrebsOnSecurity

Nach der Festnahme in den Niederlanden übernahm laut Krebs der jordanische Teenager Saif al-Din Khader alias „Rey” die Marke ShinyHunters. Unter seiner Führung soll der Angriff auf das FBI erfolgt sein. Ende September wurde er in Jordanien festgenommen und arbeitet laut Reuters mit dem FBI zusammen.

Justiz geht gegen Verhandler vor

Das US-Justizministerium geht zunehmend gegen Lösegeld-Verhandler vor. Am 7. Oktober wurde der Inhaber des Dienstleisters MonsterCloud angeklagt, der Erpresser heimlich bezahlt und Kunden eine eigene Entschlüsselungstechnik vorgetäuscht haben soll. Im Juli wurde ein Verhandler zu 70 Monaten Haft verurteilt, der mit der Ransomware-Gruppe BlackCat/ALPHV Opfer erpresst hatte. Lösegeldzahlungen sind in den USA nicht grundsätzlich verboten, sofern die Empfänger nicht sanktioniert sind. Das FBI hatte im Mai jedoch davon abgeraten, ShinyHunters zu bezahlen, da die Gruppe gestohlene Daten nicht löscht.

(red)